La directive NIS2 adopte une approche multidimensionnelle de la sécurité des ressources humaines, en l’intégrant dans le contexte plus large de la gestion des risques informatiques. Si vous souhaitez mieux comprendre quel est l’objectif principal de la directive NIS2, vous pouvez approfondir le sujet dans notre base de connaissances.

[Callforaction-NIS2]

Voici un aperçu des éléments clés :

1. La sécurité du personnel comme mesure de gestion des risques :

• Article 21, paragraphe 2(i) : Il énumère explicitement la « sécurité des ressources humaines » comme l’un des éléments essentiels que les entités doivent aborder dans leurs stratégies de gestion des risques informatiques. Cela démontre une reconnaissance claire de l’importance du facteur humain pour la posture globale de cybersécurité d’une organisation.
• Article 21, paragraphe 1 : Il exige que les entités adoptent des mesures techniques, opérationnelles et organisationnelles appropriées pour gérer les risques informatiques. Cela inclut la sécurité des ressources humaines comme partie intégrante d’une approche holistique.

2. Exigences spécifiques relatives à la sécurité des ressources humaines :

• Formation et sensibilisation (Article 20, paragraphe 2) : Il impose aux entités de fournir une formation en cybersécurité aux membres des organes de direction. Il est également encouragé d’étendre une formation similaire aux employés afin de les doter des connaissances et compétences nécessaires pour identifier et traiter les risques informatiques. Cela souligne l’importance de :
  • Sensibilisation à la sécurité : Éduquer les employés sur les menaces potentielles, telles que les attaques par hameçonnage (phishing), et sur la manière de les atténuer.
  • Pratiques sécurisées : Promouvoir des comportements sûrs, comme une bonne gestion des mots de passe et la reconnaissance des techniques d’ingénierie sociale.
  • Réponse aux incidents : Former le personnel sur la manière de répondre de manière appropriée aux incidents de sécurité.
• Configuration sécurisée et gestion des vulnérabilités (Article 21, paragraphe 2) : Bien qu’ils ne soient pas exclusivement axés sur les ressources humaines, ces exigences ont des implications pour la sécurité du personnel :
  • Configuration sécurisée des systèmes : Garantir que les systèmes sont configurés de manière sécurisée dès le départ, limitant potentiellement l’impact des erreurs humaines ou des activités malveillantes internes.
  • Gestion des vulnérabilités : Mettre en place des processus pour identifier, évaluer et résoudre les vulnérabilités, incluant la formation du personnel responsable de la maintenance des systèmes et de l’application des correctifs.
• Contrôle et gestion des accès (Article 21, paragraphe 2(i)) : Il souligne l’importance des « stratégies de contrôle des accès et de gestion des actifs ». Dans le contexte de la sécurité des ressources humaines, cela implique probablement :
  • Principe du moindre privilège : Accorder aux employés l’accès uniquement aux systèmes et aux informations essentiels à leur rôle, limitant les dommages potentiels découlant de comptes compromis.
  • Authentification forte : Comme discuté précédemment, l’utilisation de l’authentification multifacteur pour fournir une couche de sécurité supplémentaire, en particulier pour les systèmes et les données sensibles.

3. Implications indirectes :

• Sécurité de la chaîne d’approvisionnement (Article 21, paragraphe 2(d)) : Il exige que les entités traitent les risques informatiques au sein de leurs chaînes d’approvisionnement. Cela pourrait s’étendre aux pratiques de sécurité des ressources humaines des fournisseurs et des prestataires de services, en particulier ceux qui ont accès à des systèmes ou des données critiques.
• Réponse aux incidents (Article 21, paragraphe 2(b)) : Il impose la gestion des incidents comme élément clé de la sécurité. Cela inclut probablement des procédures pour identifier et répondre aux incidents de sécurité impliquant le personnel, tels que les menaces internes ou les attaques d’ingénierie sociale. Pour les entités qui doivent également remplir des obligations de notification, il est utile de vérifier les règles sur la désignation du référent CSIRT prévue par la réglementation.

4. Rôle des autorités compétentes :

• Supervision et application : La directive NIS2 confère aux autorités nationales compétentes le pouvoir de superviser et d’appliquer la conformité aux exigences de la directive. Cela pourrait impliquer l’évaluation des pratiques de sécurité des ressources humaines d’une organisation dans le cadre d’audits informatiques plus larges.

Conclusions principales :

• Approche holistique : La directive NIS2 ne traite pas la sécurité des ressources humaines comme une entité séparée, mais l’intègre dans un cadre complet de cybersécurité.
• Responsabilité partagée : Bien que la directive impose des obligations spécifiques aux organisations, elle souligne également l’importance de la sensibilisation et de la formation des employés, reconnaissant la responsabilité partagée dans la protection informatique.
• Mise en œuvre basée sur le risque : Les entités doivent adapter les mesures de sécurité des ressources humaines à leurs profils de risque et contextes opérationnels spécifiques. Pour ceux qui doivent structurer ou vérifier leur parcours de mise en conformité, notre service de conformité à la directive NIS2 offre un soutien opérationnel, de l’analyse des écarts jusqu’à la mise en œuvre des contrôles requis. Pour savoir si votre organisation entre dans le périmètre obligatoire, vous pouvez également consulter le guide sur l’ACN et la liste des entités NIS2.

[Callforaction-NIS2-Footer]