La directive NIS2 prévoit diverses mesures pour accroître la sensibilisation aux risques de cybersécurité et promouvoir les meilleures pratiques. Si vous souhaitez comprendre l’origine de cette approche, vous pouvez également lire quel est l’objectif principal de la directive NIS2.

[Callforaction-NIS2]

Directive NIS2 : Les meilleures pratiques

• Stratégies nationales de cybersécurité : Les États membres sont tenus d’adopter des stratégies nationales de cybersécurité qui définissent les objectifs stratégiques, les priorités et les ressources nécessaires pour atteindre un niveau élevé de sécurité informatique. Ces stratégies doivent couvrir des secteurs spécifiques, y compris ceux énumérés aux annexes I et II de la directive.
• Plans de sensibilisation : Dans le cadre de ces stratégies nationales, les États membres doivent élaborer des plans comportant des mesures spécifiques pour accroître la sensibilisation des citoyens à la sécurité informatique.
• Activités d’éducation, de formation et de sensibilisation : La directive encourage les États membres à promouvoir et à développer des activités d’éducation, de formation et de sensibilisation liées à la cybersécurité. Ces activités doivent s’adresser aux citoyens, aux parties prenantes et aux entités couvertes par la directive, en fournissant des indications sur les meilleures pratiques et les contrôles d’hygiène informatique.
• Soutien aux PME : Reconnaissant les besoins spécifiques des petites et moyennes entreprises (PME), la directive souligne l’importance de leur fournir des orientations et des soutiens accessibles pour renforcer leur résilience informatique et améliorer leur hygiène cybernétique.
• Divulgation coordonnée des vulnérabilités : La directive NIS2 établit un cadre pour la divulgation coordonnée des vulnérabilités, facilitant le signalement et la résolution responsable des failles de sécurité dans les produits et services TIC.
  • Ce cadre prévoit la désignation d’un référent CSIRT dans chaque État membre en tant que coordinateur pour gérer les signalements de vulnérabilités et agir en tant qu’intermédiaire de confiance entre les déclarants et les fournisseurs.
  • Ce processus vise à garantir que les vulnérabilités soient traitées rapidement, minimisant ainsi les risques pour les utilisateurs.
• Base de données européenne des vulnérabilités : L’ENISA, en consultation avec le groupe de coopération, créera et maintiendra une base de données européenne des vulnérabilités contenant des informations sur les vulnérabilités publiquement connues dans les produits et services TIC.
  • Cette base de données sera accessible à toutes les parties prenantes, favorisant la transparence et permettant aux organisations de combler proactivement les lacunes de sécurité.
• Partage d’informations : La directive promeut le partage d’informations entre les entités couvertes par la directive, les autorités compétentes et les CSIRT, favorisant une approche collaborative pour faire face aux risques de cybersécurité. Cela inclut l’échange d’informations sur les cybermenaces, les incidents, les vulnérabilités, les meilleures pratiques et les initiatives de sensibilisation.
• Examens par les pairs : La directive encourage des examens par les pairs volontaires entre les États membres pour évaluer et améliorer leurs capacités et politiques de cybersécurité. Ces examens, menés par des experts en sécurité informatique d’autres États membres, peuvent aider à identifier les domaines à améliorer et à promouvoir les meilleures pratiques.
• Signalement d’incidents significatifs : Les entités couvertes par la directive sont tenues de signaler les incidents de sécurité informatique significatifs au CSIRT ou à l’autorité compétente désignée.
  • Cette exigence de signalement aide à garantir que les incidents soient traités rapidement et efficacement, et que des leçons en soient tirées pour l’avenir.
  • Si nécessaire, les CSIRT ou les autorités compétentes peuvent informer le public sur les incidents significatifs afin d’accroître la sensibilisation et d’atténuer les risques.
• Rapport biennal sur la cybersécurité : L’ENISA, en collaboration avec la Commission et le groupe de coopération, publie un rapport biennal sur l’état de la sécurité informatique dans l’UE.
  • Ce rapport évalue le paysage des risques de cybersécurité, le développement des capacités, les niveaux de sensibilisation et la maturité des ressources de sécurité informatique dans l’UE.
  • Le rapport est rendu public et fournit des recommandations pour améliorer la sécurité informatique dans l’UE.

Grâce à ces mesures articulées, la directive NIS2 vise à promouvoir une culture de sensibilisation et de responsabilité en matière de cybersécurité dans toute l’UE, en encourageant les organisations et les individus à prendre des mesures proactives pour atténuer les risques. Pour les organisations qui doivent structurer un parcours concret vers la conformité à la directive NIS2, il est utile de commencer par une évaluation des mesures déjà mises en œuvre et des lacunes à combler. Vous pouvez également consulter le document officiel de la directive NIS2 pour le texte intégral de référence.

[Callforaction-NIS2-Footer]