Loi résilience cybersécurité : ce qui change

2. Concerné directement, ou par ricochet ?

Deux critères se combinent : le secteur et la taille. 

18 secteurs sont visés par NIS2, 11 par REC (Légifrance, exposé des motifs, 2024) : énergie, transport, santé, banque, infrastructures numériques, eau, chimie, production alimentaire, recherche. S'y ajoute un seuil, à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires pour les entités importantes. Avant d'aller plus loin, prenez cinq minutes pour vérifier secteur par secteur si votre entreprise entre dans le périmètre de NIS2.

Certaines entités sont concernées quelle que soit leur taille : fournisseurs de services de confiance, opérateurs de DNS, registres de noms de domaine, administrations publiques.

Voici le point que presque tout le monde manque. Une PME hors périmètre reçoit malgré tout les exigences, par contrat, de la part de ses clients assujettis. La loi impose aux entités régulées de sécuriser leur chaîne de prestataires. Concrètement, vous recevrez un questionnaire sécurité bien avant de recevoir une lettre de l'ANSSI.

Un exemple : un cabinet de conseil de 60 personnes travaille pour un groupe de santé et un opérateur d'énergie. Il n'est assujetti à rien. Il devra pourtant documenter sa gestion des accès, ses sauvegardes et sa procédure d'incident, parce que ses deux plus gros clients le lui demanderont au renouvellement du contrat. Le périmètre légal s'arrête à ses portes. Le périmètre contractuel, non.

3. Ce que la loi impose, et ce que vous risquez

Les obligations tiennent en trois piliers, et aucun des trois n'est un sujet d'outillage.

La gouvernance

Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et suivent une formation à la cybersécurité. Le sujet sort du service informatique et remonte au comité de direction. Ce n'est plus une ligne budgétaire, c'est une décision signée.

La gestion des risques

Analyse de risques formalisée, gestion des accès, authentification multifacteur, sauvegardes et continuité d'activité, sécurité de la chaîne d'approvisionnement, sensibilisation des équipes. Le MFA, pour ceux à qui l'acronyme ne dit rien, c'est une deuxième preuve d'identité en plus du mot de passe : un mot de passe volé ne suffit plus à entrer.

La notification des incidents

Alerte précoce à l'ANSSI sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois. C'est là que beaucoup d'entreprises découvrent un trou. On voit régulièrement une PME comprendre, au moment d'écrire sa procédure, que personne ne sait qui est joignable un dimanche soir, ni qui a le pouvoir de couper un accès à 22 heures.

La responsabilité personnelle des dirigeants peut être engagée, jusqu'à l'interdiction temporaire d'exercer des fonctions de direction dans les cas les plus graves. L'identité des entités sanctionnées peut être rendue publique.

Une nuance honnête : ce sont des plafonds. L'autorité module selon la gravité, la durée, les mesures correctives engagées et le degré de coopération. 

Ce que vous devez pouvoir montrer sous 48 heures en cas de contrôle :

• La liste de vos comptes à privilèges, à jour.
• La date de votre dernier test de restauration réel, et sa durée.
• Le nom de la personne qui décroche à 3 heures du matin.
• La preuve écrite que la direction a validé la politique de sécurité.

Pourquoi le délai de 24 heures change tout

Notifier sous 24 heures suppose d'avoir détecté sous 24 heures. Or une PME sans supervision continue ne détecte pas : elle constate, souvent plusieurs jours après, quand un fichier ne s'ouvre plus. Sans détection, la notification est mécaniquement impossible, et l'obligation légale se transforme en manquement. Ce seul délai fait basculer la loi résilience du bureau du juriste vers la salle serveur. Ce n'est pas un sujet de conformité documentaire. C'est un sujet d'infrastructure.

4. Cinq chantiers à ouvrir avant l'application du texte

Aucun de ces chantiers n'exige d'attendre le vote. Tous prennent des mois. Voici l'ordre dans lequel nous les voyons produire des résultats.

• Savoir où vous en êtes

Cartographie des actifs, des accès, des prestataires. On ne protège pas ce qu'on n'a pas inventorié, et on ne prouve rien sur un inventaire vieux de deux ans.

• Fermer les portes évidentes

Authentification multifacteur sur les accès distants et sur les comptes à privilèges. C'est le meilleur rapport entre l'effort consenti et le risque écarté, et c'est la première chose qu'un auditeur regarde.

• Tester les sauvegardes

Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Datez le dernier test réel, chronométrez-le, écrivez le résultat. Pour voir à quoi ressemble une continuité réellement éprouvée, regardez une infrastructure de continuité testée et synchronisée pour un groupe financier international.

• Écrire la procédure d'incident

Qui détecte, qui qualifie, qui décide, qui notifie, dans quel délai. Une page suffit mais elle doit exister, être affichée, et avoir été relue par la direction.

• Regarder vos contrats fournisseurs

Vos prestataires informatiques ont des accès à vos systèmes. Leur sécurité fait partie de la vôtre, et la loi vous demandera de le démontrer

Trois idées reçues sur la loi résilience

On nous dit souvent ces trois phrases qui reviennent dans nos rendez-vous, et ce qu'elles cachent : 

"On est trop petits, ça ne nous concerne pas."  : Sur le périmètre légal, souvent vrai. Sur le périmètre réel, presque jamais. Le questionnaire sécurité de votre plus gros client arrivera avant l'ANSSI, et il ne vous demandera pas votre effectif.

"On attend les décrets d'application." : Les obligations de fond sont écrites dans les directives depuis décembre 2022. L'ANSSI a publié son référentiel sans attendre le vote. Attendre les décrets, c'est se laisser le temps de ne rien faire.

"C'est notre prestataire qui gère la sécurité." : L'exécution se délègue. La responsabilité, non : le texte engage nommément les organes de direction. Ce que vous pouvez déléguer, c'est le travail. Ce que vous devez garder, c'est la capacité à vérifier qu'il est fait.

5. Ce que la conformité change au quotidien

Ces cinq chantiers ne sont pas cinq projets à lancer de zéro. Ce sont cinq preuves qu'une infogérance correctement tenue produit déjà, sans qu'on les appelle de la conformité.

L'obligation de gestion des risques se traduit par une cartographie du parc tenue à jour en continu, machine par machine, compte par compte, et non par un document Word ressorti une fois l'an. 

L'obligation de détecter et de notifier sous 24 heures se traduit par une supervision continue de l'infrastructure, un outil comme Zabbix qui remonte les signaux, et surtout par un dispositif humain qui qualifie les alertes et déclenche la remédiation. C'est exactement le rôle d'un micro-SOC : une équipe qui reçoit, trie et agit, sans que vous ayez à monter un centre de sécurité interne. L'obligation de continuité se traduit par des sauvegardes dont la restauration est testée à intervalle défini, avec une solution du type Acronis Cyber Protect, et par un plan de reprise dont la date du dernier test est connue de tous. L'obligation de gouvernance se traduit par un comité de pilotage où la direction voit les incidents du trimestre, les vulnérabilités encore ouvertes et les décisions à arbitrer. Une réunion trimestrielle qui laisse une trace écrite vaut plus qu'une politique de sécurité que personne n'a relue. Quant à l'obligation de sécuriser la chaîne d'approvisionnement, elle se retourne contre le prestataire lui-même : il devient une pièce du dossier de conformité de son client.

5.1. Cinq questions à poser 

• Pouvez-vous me fournir, aujourd'hui, la liste des comptes qui disposent d'un accès administrateur sur mon système d'information ?
• Quelle est la date du dernier test de restauration réel de mes sauvegardes, et combien de temps a-t-il pris ?
• Si un incident survient un dimanche à 3 heures du matin, qui reçoit l'alerte, sous quel délai, et qui me prévient ?
• L'authentification multifacteur est-elle active sur tous mes accès distants et tous mes comptes à privilèges, sans exception ?
• Quelles preuves écrites pouvez-vous me remettre si un client m'envoie un questionnaire sécurité la semaine prochaine ?

Un prestataire qui tient correctement votre infrastructure répond à ces cinq questions en une journée, sans rien reconstituer. S'il lui faut une semaine, la loi n'est pas votre problème le plus urgent.

5.2. Comment ça se passe chez OTO Technology 

Chez OTO Technology, ces réponses existent, et elles ne sortent pas d'un outil unique. La supervision, les sauvegardes, l'identité et le multifacteur passent par plusieurs logiciels différents tels que Zabbis, Acronis etc ... 

3 briques distinctes, chacune choisie parce qu'elle fait bien son métier. Ce qui les relie, ce sont les mêmes équipes, sous le même contrat : l'alerte remontée un dimanche soir, le compte administrateur créé la veille et le test de restauration daté du mois dernier se recoupent chez les mêmes personnes. Un outil ne prouve rien tout seul, c'est l'équipe qui produit la preuve.

La conformité n'est pas un projet séparé : c'est un sous-produit d'une infogérance faite correctement. L'audit de sécurité sert à mesurer l'écart entre vos pratiques et ce que le texte attendra, puis à le documenter.

Posons la limite honnêtement : une PME correctement infogérée détient déjà l'essentiel des mesures techniques. Ce qui lui manque presque toujours, c'est la trace écrite et la validation par la direction. C'est le vrai chantier, et il ne coûte pas cher, il coûte surtout de l'attention.