Nouvelles lois de l'UE sur la cybersécurité : explications

Avec la numérisation rapide de la vie quotidienne, encore accélérée par la pandémie de Covid-19, la protection contre les cybermenaces est devenue essentielle au bon fonctionnement de la société. Les cyberattaques peuvent être très coûteuses. Selon la Commission européenne, le coût annuel de la cybercriminalité pour l'économie mondiale est estimé à 5,5 billions d'euros d'ici la fin de 2020.​

En novembre 2022, le Parlement européen a mis à jour la législation de l'UE afin de renforcer les investissements dans une cybersécurité améliorée pour les services essentiels et les infrastructures critiques et pour accroître les règles à l'échelle de l'UE. Le Parlement a également renforcé la protection des infrastructures essentielles de l'UE, y compris les infrastructures numériques en donnant son approbation finale à la législation qui renforce les évaluations des risques et les exigences de déclaration pour les acteurs critiques dans 11 secteurs essentiels.

​Découvrez comment elles vous protégeront.​

Renforcement des obligations en matière de cybersécurité - la directive NIS 2

La directive sur la sécurité des réseaux et des systèmes d'information (NIS 2) introduit de nouvelles règles pour faire progresser un niveau commun élevé de cybersécurité dans l'UE, tant pour les entreprises que pour les pays. Elle renforce également les exigences en matière de cybersécurité pour les moyennes et grandes entités qui opèrent et fournissent des services dans des secteurs clés.

Un mise à jour de la directive NIS de 2016 vise à améliorer la clarté et la mise en œuvre, ainsi qu'à répondre aux évolutions rapides dans ce domaine. Il couvre plus de secteurs et d'activités qu'auparavant, rationalise les obligations de déclaration et aborde la sécurité de la chaîne d'approvisionnement.

Après avoir été approuvée par le Parlement le 10 novembre, elle a besoin d'un feu vert final des pays de l'UE au sein du Conseil, après quoi les États membres auront 21 mois pour la mettre en œuvre.

Découvrez quelles sont les cybermenaces principales et émergentes !!!

Selon l'Agence de l'Union européenne pour la cybersécurité (ENISA), il existe neuf principaux groupes de menaces :

• Les rançongiciels - Les criminels prennent les données d'une organisation « en otage » et exigent un paiement pour en débloquer l’accès.
• Le cryptojacking - Les cybercriminels volent secrètement les ressources informatiques de l’appareil infecté afin de générer de la crypto-monnaie.
• Les menaces contre les données – Violations ou fuites de données.
• Les malware, maliciels ou logiciels malveillants – Un maliciel est un logiciel qui déclenche un processus qui affecte un système.
• La désinformation – Diffusion d'informations trompeuses.
• Les menaces non malveillantes – Erreurs humaines et mauvaises configurations d'un système.
• Les menaces portant atteinte à la disponibilité et à l'intégrité – Ces attaques empêchent les utilisateurs d'un système d'accéder à leurs informations.
• Les menaces liées aux e-mails – Elles visent à manipuler les utilisateurs pour qu'ils soient victimes d'une attaque par e-mail.
• Les menaces sur la chaîne d'approvisionnement – ​​attaque visant, par exemple, un fournisseur de services afin d'accéder aux données d'un client.

Selon le rapport de l'ENISA, 76 % des Européens estiment qu'ils sont confrontés à un risque croissant d'attaques en ligne.

> Plus de secteurs inclus

La nouvelle loi élargit le champ des secteurs et des activités critiques pour l'économie et la société, notamment l'énergie, les transports, la banque, la santé, les infrastructures numériques, l'administration publique et l'espace. Cependant, elle ne couvre pas la sécurité nationale et publique, l'application de la loi ou le système judiciaire. La loi s'applique à l'administration publique aux niveaux central et régional, mais pas aux parlements et aux banques centrales.

Cela oblige davantage d'entités et de secteurs à prendre des mesures de gestion des risques de cybersécurité, y compris les fournisseurs de services publics de communications électroniques, les opérateurs de médias sociaux, les fabricants de produits critiques (y compris les dispositifs médicaux) et les services postaux et de messagerie.

> Des obligations plus strictes pour les pays

La loi fixe des obligations de cybersécurité plus strictes pour les pays de l'UE en matière de surveillance. Elle améliore l'application de ces obligations, notamment en harmonisant les sanctions entre les États membres. Elle vise également à améliorer la coopération entre les pays de l'UE, y compris sur les incidents à grande échelle, sous l'égide de l'Agence de l'UE pour la cybersécurité (ENISA).

Protéger le système financier de l'UE - DORA

Etant donné que le secteur financier dépend de plus en plus des logiciels et des processus numériques, il a également besoin d'une protection accrue. La loi sur la résilience opérationnelle numérique (DORA) garantira que le secteur financier de l'UE est plus résistant aux graves perturbations opérationnelles et aux cyberattaques.

Le Parlement a donné son approbation finale à la législation, préalablement approuvée avec le Conseil le 10 novembre. La loi introduit et harmonise les exigences de résilience opérationnelle numérique pour le secteur des services financiers de l'UE, obligeant les entreprises à s'assurer qu'elles peuvent résister, réagir et se remettre de tous les types de perturbations et de menaces liées aux technologies de l'information et de la communication (TIC)

Les nouvelles règles s'appliquent à toutes les entreprises fournissant des services financiers - telles que les banques, les prestataires de paiement, les prestataires de monnaie électronique, les entreprises d'investissement, les prestataires de services de crypto-actifs ainsi qu'aux prestataires de services tiers critiques en matière de TIC.

Les autorités nationales superviseront et veilleront à la mise en œuvre.

Pour en savoir plus

Source : Parlement Européen, décembre 2022