Guillaume Renouard, à Londres.
Ce contenu est réservé aux abonnés La Tribune
La nouvelle loi NIS 2 touche davantage de PME, et le champ d'activité a été étendu à 18 secteurs, dont la santé, les transports, la gestion des déchets, les fournisseurs de services numériques ou encore les communes de plus de 30.000 habitants.
Reuters
Plus une semaine ne passe sans une cyberattaque d'ampleur, obligeant les autorités à adapter leur législation au fil de l'eau pour protéger leurs entreprises et infrastructures publiques. Cet impératif a poussé en 2016 le Parlement européen à adopter la directive NIS (pour Network and Information Systems), dont l'application a démarré à partir de 2018. Son objectif était d'imposer un certain standard de cybersécurité aux entreprises opérant dans des secteurs d'importance vitale ou stratégique, comme l'énergie, l'alimentation ou encore les services financiers.
Mais le domaine de la cybersécurité évoluant à toute allure, NIS se révèle déjà obsolète. Comme les grandes entreprises et agences gouvernementales ont considérablement renforcé leurs cyberdéfenses, les cybercriminels ont en effet déniché une nouvelle astuce pour les contourner : cibler les plus petites sociétés situées en amont et en aval de la chaîne de valeur, plus vulnérables. Et qui ne tombaient pas sous le coup des exigences de NIS.
À lire également
Ainsi, en 2020, la cyberattaque contre le fournisseur de logiciel SolarWinds a permis à des cybercriminels de hacker plusieurs branches du gouvernement fédéral américain. Et en juillet dernier, c'est une mise à jour défectueuse du logiciel de cybersécurité CrowdStrike qui a paralysé plus de 8,5 millions de PC fonctionnant sous Windows, le système d'exploitation dominant de Microsoft.
D'où la nécessité d'étendre le périmètre de NIS à un plus grand nombre d'acteurs.
Guillaume Renouard, à Londres.
