Deux ans d’attente… pour un statu quo : il n’y aura pas d’article 16 bis dans la loi « résilience ».
Le 10 novembre, les députés ont achevé l’examen de ce texte qui transpose la directive NIS 2 dans le droit français. Le vote solennel aura lieu le 17.
À 69 voix pour et 37 contre, ils ont supprimé l’article en question, destiné à interdire les backdoors dans les messageries chiffrées. En particulier au motif d’une rédaction trop large risquant de compromettre les techniques d’enquête actuelles.
« Les magistrats nous alertent »
L’article 16 bis aurait empêché d’imposer aux fournisseurs de services de chiffrement « tout […] mécanisme ou processus permettant un accès non consenti aux données protégées ».
« Le ministère de la Justice nous a fait comprendre que [cela] mettrait en difficulté les techniques d’enquête », a expliqué le député des Côtes-d’Armor Éric Bothorel (Ensemble pour la République), rapporteur général de la commission spéciale chargée d’examiner le texte. Ayda Hadizadeh (Val-d’Oise, socialistes et apparentés) lui a fait écho : « Les magistrats nous alertent. […] Devant le juge, des avocats aguerris pulvériseront [les] preuves récoltées légalement, mais sans le consentement des intéressés. »
Pour Virginie Duby-Muller, supprimer l’article était une question « de cohérence juridique et d’efficacité opérationnelle ». « Par définition, une interception judiciaire ou une technique de renseignement est un accès non consenti », a rappelé la députée de Haute-Savoie (Droite Républicaine), tout en soulignant que la téléphonie classique aurait aussi été concernée.
Le vote de la loi « narcotrafic » avait débloqué les choses
Le 16 bis ne figurait pas dans la version initiale du projet de loi « résilience ». Les sénateurs l’avaient introduit en mars 2025, en guise de contrepoids à un article qu’ils avaient inséré quelques semaines plus tôt dans la proposition de loi « narcotrafic » : le 8 ter. Son principe : étendre aux fournisseurs de services de cryptologie et de messageries instantanées les obligations de coopération jusque-là applicables aux opérateurs télécoms dans le cadre des écoutes administratives ou judiciaires. L’Assemblée nationale l’avait supprimé et le texte avait été voté sans, en juin 2025.
Dans ce contexte, le Rassemblement national, initialement favorable à l’article 16 bis, a changé d’avis. D’autant plus que le gouvernement s’est engagé à ne pas réintroduire de dispositions similaires dans la législation jusqu’à la fin de la session parlementaire.
Philippe Latombe (groupe Les Démocrates), président de la commission spéciale chargée d’examiner le projet de loi, a eu le même raisonnement : le 8 ter n’étant plus, le 16 bis n’a plus de raison d’être. Le député de Vendée s’est aussi référé au rapport Boudié, qui « conclut qu’il vaut mieux s’en tenir au droit en vigueur ».
Dans ce rapport remis à Sébastien Lecornu en septembre, l’ancien président de la commission des lois de l’Assemblée recommande effectivement de s’abstenir de légiférer tant qu’il n’existera pas de solution technique permettant un accès ciblé sans fragiliser le chiffrement.
Le groupe écologiste veut faire du chiffrement un droit constitutionnel
À l’instar de Philippe Latombe, Vincent Thiébaut (Horizons & Indépendants, Bas-Rhin) aura noté que l’article 16 bis serait probablement censuré en tant que cavalier législatif.
LFI a, au contraire, défendu l’article. Le supprimer « [ouvrirait] une faille qui ne [ferait] aucune distinction et [profiterait] à n’importe qui », a clamé René Pilato, député de Charente.
Même son de cloche chez Catherine Hervieu. La députée de Côte-d’Or estime « impossible de garantir absolument qu’un accès exceptionnel, conçu pour les services de renseignement, ne puisse jamais être détourné par des acteurs ciminels ou des puissances étrangères. » Son groupe politique (Écologiste et Social) entend défendre, au moyen d’une demande de rapport, la reconnaissance constitutionnelle du droit au chiffrement.
Attendu à l’ordre du jour de la session parlementaire extraordinaire de juillet dernier, le Projet de loi relatif à « la résilience des infrastructures critiques et au renforcement de la cybersécurité » qui porte la transposition de NIS 2 , avait finalement été reporté au 7 octobre…avant d’être retirer de l’ordre du jour « en raison de l’encombrement du calendrier parlementaire ».
Tandis que la France expérimente une vague de cyberattaques, visant les services publics autant que le secteur privé, la transposition de la directive NIS 2 par les parlementaires français vient de dépasser de deux années le délai fixé par Bruxelles au 17 octobre 2024.
Une nouvelle date de discussion publique du texte est fixée au Lundi 9 novembre. Les discussions parlementaires sont prévues jusqu’au Vendredi13 novembre ( sans le 11 novembre).
Le projet de loi ne se limite pas à NIS2. Il transpose également trois directives européennes adoptées en 2022 : la directive REC sur la résilience des entités critiques, NIS2 sur la cybersécurité et la directive associée au règlement DORA pour la résilience opérationnelle numérique du secteur financier.
Son titre Ier modernise le dispositif français de sécurité des activités d’importance vitale (SAIV), créé en 2006 et applicable à plus de 300 opérateurs. Il élargit ce cadre à de nouveaux sous-secteurs, dont les réseaux de chaleur et de froid, l’hydrogène et l’assainissement, et impose des plans de résilience aux opérateurs et aux quelque 1 500 points d’importance vitale.
Un texte attendu par la cyber française
Le titre II, consacré à la cybersécurité, est le volet directement lié à NIS2. Il élargit le périmètre régulé de 6 à 18 secteurs, incluant notamment la santé, les industries manufacturières, la fabrication de produits chimiques, la recherche, les services postaux et les infrastructures numériques.
Interrogé début octobre par les rapporteurs de la commission spéciale chargée d’examiner le projet de loi qui doit transposer cette directive, le directeur général de l’ANSSI a appelé à ne pas « surtransposer » ou surcharger NIS 2. Le député Philippe Latombe venait de lui demander si, les mois ayant passé (le Sénat a adopté le texte en mars 2025), il était nécessaire d’actualiser le projet de loi.
Fin de non-recevoir pour Vincent Strubel, qui perçoit une « réponse adaptée à l’état de la menace et à ses évolutions anticipées ». Un texte « neutre technologiquement » et dont les mesures « auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois. »
Les délais de transposition, ajoute-t-il, ont un effet d’éviction sur la préparation des entités concernées. Y compris au niveau des allocations de budgets. Ce que les entreprises françaises de cybersécurité ont fait remonter…
La transposition française de NIS 2 reste suspendue au calendrier parlementaire. L’ANSSI prépare néanmoins les futures entités concernées avec le Référentiel Cyber France (ReCyF) et envisage une mise en conformité complète d’ici fin 2028. L’agence veut également renforcer les contrôles de sécurité des systèmes de l’État et la responsabilité des éditeurs de logiciels.
Le calendrier : l’examen du projet de loi de transposition a été reporté. La fin 2028 est une échéance envisagée par l’ANSSI, pas une date légale définitivement fixée.
La préparation : le ReCyF fournit un socle de référence pour aider les organisations à anticiper les exigences de NIS 2.
Les autres chantiers : journalisation, authentification multifacteur des administrateurs, déploiement d’EDR ou de XDR et traitement des vulnérabilités restent des priorités de sécurité pour les systèmes de l’État.
« Autorité renforcée pour l’ANSSI »… et « embouteillage parlementaire ». Lors de la conférence d’introduction des Assises de la sécurité, ce fut à peu près tout au sujet de NIS 2.
Vincent Strubel avait eu l’occasion de s’exprimer plus largement la semaine dernière à l’Assemblée nationale. Il était auditionné par la commission spéciale chargée d’examiner le projet de loi qui doit transposer cette directive. En ligne de mire, des débats en séance publique le 7 octobre. Il n’en a finalement rien été. La veille, le texte a été retiré de l’ordre du jour – avec report sine die – en raison d’un calendrier parlementaire trop chargé.
Un texte attendu par la cyber française
Devant les rapporteurs, le directeur général de l’ANSSI a appelé à ne pas « surtransposer » ou surcharger NIS 2. Le député Philippe Latombe venait de lui demander si, les mois ayant passé (le Sénat a adopté le texte en mars 2025), il était nécessaire d’actualiser le projet de loi.
Fin de non-recevoir pour Vincent Strubel, qui perçoit une « réponse adaptée à l’état de la menace et à ses évolutions anticipées ». Un texte « neutre technologiquement » et dont les mesures « auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois. »
Les délais de transposition, ajoute-t-il, ont un effet d’éviction sur la préparation des entités concernées. Y compris au niveau des allocations de budgets. Ce que les entreprises françaises de cybersécurité ont fait remonter…
Jusqu’à fin 2028 pour se mettre en conformité ?
En mars, l’ANSSI a publié le ReCyF (Référentiel Cyber France), décliné depuis en fiches pratiques. Ce socle pour la conformité NIS 2 sera complété « en delta au cas par cas pour les cadres spécifiques ». À l’exclusion toutefois de ceux qui ne sont pas du ressort de l’ANSSI. Qui invite, le cas échéant, à utiliser le comparateur disponible sur la plate-forme MesServicesCyber.
Lors d’une précédente audition devant cette même commission, Vincent Strubel avait évoqué un délai de 3 ans avant de demander une conformité complète. Dans le contexte que l’on sait, il considère désormais qu’on « ne peut pas rester sur ce timing ». Est désormais envisagée la fin 2028, pour toutes les entités. En attendant l’application du cadre réglementaire, il y aura des « galops d’essai ». Autant pour accompagner les futurs assujettis que pour permettre le rodage de la missions de contrôle de l’ANSSI.
La logique de sanctions, de pouvoir contraignant doit aussi contribuer à « faire de la cybersécurité non plus un sujet de techniciens mais un sujet de gouvernance : de directions des finances, des affaires juridiques, de boards, de comex… »
Sécurité de l’État : la journalisation, cet autre défi
La transposition de NIS 2 a pour toile de fond la stratégie nationale de cybersécurité publiée en janvier. S’y est ajoutée, en avril, la feuille de route pour la sécurité de l’État. « Pas une nouveauté, mais un calendrier et un pilotage nettement resserrés », pour résumer les propos de Vincent Strubel. Les ministères ont effectivement plusieurs actions à effectuer d’ici au 31 décembre 2026. Dont :
Mettre en œuvre une politique d’audit et de contrôle des SI
Homologuer les SI soutenant des missions essentielles
Mettre en œuvre des procédures d’installation des correctifs de sécurité
Remplacer les éléments de sécurité obsolètes
Généraliser ProConnect sur les SI à enjeux
Mettre en place du MFA pour les administrateurs SI
Déployer des EDR ou XDR sur tous les postes de travail et serveurs
Sous ce régime, l’ANSSI a « vu des chantiers qui étaient jusque-là prévus pour prendre trois ans aboutir en trois mois ». Son DG l’expliquait il y a quelques semaines au député Éric Bothorel, rapporteur principal de la commission spéciale. Il avertissait, en parallèle, que le généralisation de l’authentification forte ou multifacteurs ne serait pas simple. Au menu, « des milliers et des milliers de services numériques », dont une grande partie externalisés, pour lesquels toute évolution est soumise au cadre des marché publics. Bref, « c’est une question de mois, pas d’années ; mais pas non plus de semaines ». Pas vraiment réglo en la matière, la DGFiP doit tenir compte de 90 000 agents, mais aussi potentiellement de centaines de milliers de partenaires extérieures. Parmi eux, des notaires, des comptables de collectivités… ou encore des géomètres experts (profession mise en évidence par une des compromissions).
Il faudra aussi, entre autres, systématiser la génération et la collecte de logs utiles dans l’ensemble des applicatifs de l’État. Or, « c’est loin d’être le cas, et certains ne sont pas tout jeunes, ou développés dans des technologies exotiques ».
« Osons »… penser autrement l’IA
Vincent Strubel trouve « presque surprenante » la consternation née de la publication du rapport sur la DGFiP. L’ANSSI, explique-t-il, y prouve « probablement ce que chaque professionnel de la cybersécurité voit dans son quotidien ». Dit autrement : « Des vulnérabilités de base qu’on trouve partout ».
Face à ce qu’il qualifie de « décalage », l’intéressé avance le travail de transparence que l’agence mène depuis quelques semaines. Il s’est matérialisé avec le rapport sur la DGFiP, le premier point d’étape du dispositif REACTIV… et, cette semaine, un retex que le CERT-FR et le CERT-Santé ont consolidé sur la base des incidents qu’ils ont traités ces dernières années. Ce document fait aussi ressortir des défauts de sécurisation élémentaires (mots de passe par défaut non changeables, absence de contrôle d’accès…).
Ce travail de transparence « pique un peu », admet Vincent Strubel. « Il faut surmonter des pudeurs mal placées, encaisser des traitements parfois un peu sensationnalistes. » Il y a d’autres choses à ne pas éluder, ajoute-t-il : « Est-ce qu’on se parle trop entre nous et pas assez aux autres ? Est-ce qu’on donne parfois trop dans le buzzword et pas assez dans les fondamentaux ?… »
Cela n’empêche pas d’ « oser penser par soi-même », en premier lieu sur le sujet de l’IA. Son postulat : plutôt que d’ancrer sa réflexion sur les annonces de quelques fournisseurs, commencer par les mettre face à leurs responsabilités. Les attaques d’agents IA, même dans le cadre de tests ou à l’insu de leur concepteur, « ce n’est pas une prouesse technique, c’est un défaut de sécurité élémentaire. Partout ailleurs, ça provoque […] des mesures urgentes. Ça ne peut pas être différent dans l’IA. Sinon, on va reproduire le péché originel : […] dégager les éditeurs de leur responsabiliré ».
L’œil sur le CRA, binôme de NIS 2
La responsabilité des éditeurs est l’objet du CRA (Cyber Resilience Act). S’agissant d’un règlement, il n’est pas soumis au calendrier parlementaire. Son entrée en application interviendra le 11 décembre 2027.
La commission spéciale de l’Assemblée nationale a choisi d’intégrer cette population « en bloc » dans la transposition de NIS 2. L’ANSSI n’y est pas favorable. Son argument : cela créerait une obligation qui ne s’imposerait qu’aux éditeurs implantés en France.
Pour la prise en charge des sous-traitants, elle juge au contraire qu’on tient « la bonne manière de faire les choses ». Ces acteurs ne sont pas assujettis en tant que tels, mais sont soumis indirectement aux exigences à travers leurs relations contractuelles. « On pourrait toujours faire plus mais à un moment, il faut fixer la barre d’un niveau de complexité et de proportionnalité approprié », résume Vincent Strubel.
L’ANSSI s’estime capable de mener ses nouvelles missions NIS 2… parce qu’elle a adapté son fonctionnement à travers des relais dans les services de l’Etat, le secteur privé et les collectivités. Autrement, avec 670 ETP, « il n’y a pas de gras », d’après son DG, qui rappelle que le BSI (homologue allemand) en a entre 1800 et 2000 pour les mêmes missions.
Attendu à l’ordre du jour de la session parlementaire extraordinaire de juillet, le Projet de loi relatif à « la résilience des infrastructures critiques et au renforcement de la cybersécurité » qui porte la transposition de NIS 2 en droit français n’y figurait pas.
Cet énième report déplace la discussion en septembre, même si aucune date n’est encore fixée.
Ce blocage législatif n’a pas dissuadé Board of Cyber qui s’est appuyé sur le Référentiel Cyber France (ReCyF) de l’ANSSI en analysant 2,8 millions d’actifs.
Le score global moyen s’établit à 690 sur 1000, positionnant l’écosystème national à un niveau de maturité intermédiaire.
Un blocage collectif au niveau intermédiaire
L’analyse met en évidence une concentration massive des organisations au milieu de l’échelle de maturité. 59,4 % des entités se trouvent dans la catégorie intermédiaire, tandis que 32,7 % atteignent la catégorie avancée et 7,9 % restent cantonnées au niveau basique.
Près d’une entité sur cinq (18,1 %), toutes situées dans la catégorie intermédiaire, se positionne à moins de 50 points du seuil avancé. Un cap que l’étude qualifie de complexe à franchir, rappelant que 50 points ne s’obtiennent pas en un seul geste.
Le paysage se caractérise également par de profondes disparités sectorielles.
Le secteur bancaire tire son épingle du jeu avec 60,2 % d’entités en catégorie avancée.
À l’inverse, le secteur numérique (qui constitue pourtant le socle commun des 18 secteurs de la directive) s’avère le moins mature en affichant seulement 28,1 % d’entités en catégorie avancée.
Pire, il concentre 81 % des structures de niveau basique et constitue le seul secteur à écoper d’un grade C en matière de messagerie. Résultat : il totalise à lui seul 64,8 % des vulnérabilités critiques observées sur le marché.
La menace concentrée de la chaîne d’approvisionnement
Au titre de l’article 21.2.d de la directive, l’enjeu réglementaire dépasse largement la protection des frontières internes de l’entreprise
Il impose d’identifier les tiers critiques, d’évaluer les risques induits et de suivre leur niveau de sécurité dans le temps. Or, les données du panorama révèlent une asymétrie préoccupante : si deux tiers des fournisseurs potentiels n’atteignent pas le niveau avancé, la menace réelle repose sur une minorité d’acteurs.
En effet, 10 % des entités concentrent 93,1 % des vulnérabilités critiques tout en s’intégrant dans la chaîne d’approvisionnement de l’ensemble du marché.
Plus surprenant encore, 13,6 % des entreprises classées en catégorie avancée présentent elles aussi au moins une faille critique susceptible d’être exploitée pour entraîner en cascade leurs partenaires.
S’ajoute à cela une surface d’attaque externe encore mal maîtrisée pour près d’un tiers des organisations (34,8 % de grades D ou E sur ce domaine, qui regroupe ports ouverts et interfaces d’administration accessibles depuis Internet).
« Ces indicateurs dessinent un paysage à deux vitesses où le risque est massivement concentré. Si la majorité des entreprises se maintient au niveau intermédiaire, la menace réelle repose sur une minorité d’entre elles qui portent l’essentiel des vulnérabilités critiques, tout en étant présentes dans les chaînes d’approvisionnement de l’ensemble du marché », analyse Sylvain Lefeuvre, directeur général adjoint de Board of Cyber.
L’étude appelle ainsi à un changement de paradigme opérationnel, articulé autour de trois axes : élever le niveau commun de la chaîne, mutualiser les évaluations entre donneurs d’ordre pour éviter des audits individuels chronophages et coûteux, et maintenir durablement les efforts de remédiation.
Un impératif de pilotage alors que l’échéance réglementaire approche.
C’est un de ces retards bureaucratiques dont Paris a le secret, mais qui commence à coûter très cher en crédibilité et, bientôt, en dizaines de millions d’euros.
Selon Politico, la Commission européenne durcit progressivement le ton contre la France, toujours hors-jeu sur la transposition de la directive de cybersécurité NIS 2.
L’affaire a pris une dimension particulièrement sensible à Bruxelles depuis que la Commission a multiplié les avertissements officiels.
L’échéance initiale de transposition était pourtant fixée au 17 octobre 2024. Près de deux ans plus tard, la France n’a toujours pas finalisé le processus législatif.
Après une mise en demeure adressée à 23 États membres fin 2024, puis un avis motivé envoyé le 7 mai 2025 à 19 pays récalcitrants, l’exécutif européen enclenche la vitesse supérieure. Ce serait la saisine imminente de la Cour de justice de l’Union européenne (CJUE).
Un signal politique dévastateur
Pour Bruxelles, ce retard chronique n’est pas une simple péripétie administrative. Il fragilise directement la cohérence du cadre européen de cybersécurité, à l’heure où les attaques par rançongiciels et les opérations de sabotage d’État contre les infrastructures critiques, les services numériques et les chaînes d’approvisionnement atteignent des sommets.
En tolérant de tels décalages entre les États membres, l’Union européenne prendrait le risque de fracturer son marché intérieur, le rendant illisible pour les acteurs économiques globaux.
Le message envoyé à Paris résonne comme un cinglant désaveu politique. La France, qui se pose traditionnellement en championne de l’« autonomie stratégique européenne » et de la souveraineté numérique, se retrouve prise en flagrant délit de contradiction sur un texte pourtant fondateur.
Ce fossé béant entre le lyrisme des discours et l’inertie de l’exécution nourrit l’embarras de l’exécutif, d’autant que le dossier touche au cœur régalien du pays : l’énergie, les transports, la santé et les télécoms.
L’industrie maintenue dans le brouillard
La directive NIS 2 change radicalement d’échelle par rapport à sa première version. Elle élargit massivement le spectre des entités régulées et impose des obligations drastiques en matière de gouvernance, de gestion des risques, de notification des incidents et de filtrage des sous-traitants.
Cette vaste zone grise réglementaire suscite l’inquiétude légitime des industriels et des opérateurs de services essentiels (OSE). Ces derniers sont contraints de concevoir des capacités de supervision et de détection cyber majeures sans disposer d’un référentiel national stabilisé par l’Anssi.
Le contrecoup touche également l’écosystème IT et les fournisseurs de solutions de cybersécurité qui voient en NIS 2 un catalyseur de la demande.
« La Commission européenne s’apprête, juste avant ou juste après l’été, au plus tard avant la fin de l’année, à poursuivre la France et l’Espagne devant la plus haute juridiction européenne, la Cour de justice de l’Union (CJUE), pour ne pas avoir adopté une loi transposant dans leur droit les règles européennes sur la protection des infrastructures critiques contre les cyberattaques. » s’alarment Philippe Latombe (Député de la Vendée, Président de la Commission spéciale de l’Assemblée nationale) et Olivier Cadic (Sénateur des Français établis hors de France, Président de la Commission spéciale du Sénat).
Les deux élus rappellent que le 10 septembre dernier, la Commission spéciale de l’Assemblée nationale avait pourtant voté le projet de loi à l’unanimité. « Son examen en hémicycle semblait une formalité […]. Et puis, plus rien ! Ce texte, en dépit de nos alertes répétées, est sans cesse repoussé aux calendes. Une telle décision de la Commission européenne, rare dans son histoire, devrait de surcroît se concrétiser par une amende pouvant atteindre plusieurs dizaines de millions d’euros, une sanction financière dont notre budget national pourrait bien se passer, en ces temps de disette. La finalisation du parcours de ce texte législatif sur la protection des infrastructures critiques contre les cyberattaques est une urgence absolue. »
La méthode Bruxelles : pas de traitement de faveur
La doctrine défendue par la Commission européenne est d’une simplicité redoutable. Sans transposition rapide et rigoureusement homogène, l’efficacité d’une législation transfrontalière s’effondre. Bruxelles insiste sur le fait qu’en matière de sécurité des réseaux, la vulnérabilité d’un maillon national compromet instantanément l’intégrité collective de l’Union. C’est cette intransigeance qui explique pourquoi la Commission refuse d’accorder le moindre passe-droit à l’exécutif français.
Certes, le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité suit techniquement son cours parlementaire. Le Sénat a avancé et l’Assemblée nationale a réuni sa commission spéciale.
Mais si Paris ne redresse pas la barre de toute urgence avant les échéances fixées à la fin de l’année par Bruxelles, la condamnation par la CJUE tombera.
Selon que vous serez une entité « importante » ou « essentielle », la NIS 2 s’appliquera différemment.
Le principe est connu. L’ANSSI y apporte cependant une nouvelle grille de lecture, en l’objet du ReCyF (Référentiel Cyber France). Elle y décline les dispositions de la directive en 20 objectifs.
En attendant la transposition dans le droit français, le ReCyF n’est diffusé qu’en tant que document de travail – il n’a d’ailleurs pas encore fait l’objet d’une consultation. L’agence prévoit de publier un référentiel complémentaire qui en reprendra un sous-ensemble pour les entités moins matures.
Un principe de proportionnalité s’applique. Les entités importantes (EI) sont ainsi exemptées de 5 objectifs, qui ne s’appliquent qu’aux entités essentielles (EE). Ils concernent, dans les grandes lignes :
Gouvernance par les risques
Programme d’audit SSI
Sécurisation de la configuration des ressources des SI
(En particulier, n’installer que les logiciels nécessaires et réduire le risque sinon)
Réseaux d’administration dédiés
Supervision de la SSI
(Dimensionnement du SI en adéquation avec la capacité opérationnelle de l’équipe chargée de cette supervision, démarche d’amélioration continue de cette activité, conservation des données au moins 3 mois, etc.)
Les 15 autres objectifs s’appliquent aux EE comme aux EI. Mais on n’attend pas de ces dernières qu’elles mettent en œuvre autant de moyens pour les atteindre.
Sur la gouvernance de la sécurité numérique
L’ANSSI attend des EI que leur dirigeant exécutif soit responsable de la sécurité informatique. Mais pas qu’il désigne au moins une personne pour le conseiller et l’accompagner dans l’exercice de cette responsabilité.
Sur l’intégration de la sécurité numérique dans la gestion des RH
On n’attend pas des EI qu’elles prévoient des clauses de sécurité dans les contrats de travail.
Sur la maîtrise des SI
Au rang des éléments attendus des EI, il y a une cartographie des SI. Mais pas une procédure de MCO/MCS des ressources matérielles et logicielles. Ni la planification et l’installation des correctifs de sécurité sur l’ensemble de ces ressources.
Sur la maîtrise des accès physiques aux locaux
L’ANSSI attend d’une EI qu’elle mette en place des mesures pour limiter l’accès de personnes non autorisées à ses locaux (registre des visiteurs, badges…). Mais pas qu’elle s’assure de leur protection physique (vidéosurveillance, gardiennage, alarme). Ni que les droits d’accès physique soient attribués au regard du besoin strictement nécessaire à l’exécution des missions des personnes.
Sur la sécurisation de l’architecture des SI
Les EI cloisonneront physiquement et/ou logiquement l’ensemble de leurs SI vis-à-vis des autres SI.
On n’attend pas, en revanche, qu’elles mènent des réflexions sur la pertinence de définir des sous-systèmes. Et, par là même, qu’elles en définissent au moins un de type « passerelle sortante » (proxy) et un de type « passerelle entrante » (proxy inversé ou relais).
Deux autres « attendus » ne s’appliquent pas aux sous-systèmes. D’une part, s’assurer que seules les interconnexions nécessaires aux activités de l’EI ou à son MCO/MCS soient mises en œuvre entre ses SI et les SI tiers (ainsi que ceux auxquels elle a choisi de ne pas appliquer les objectifs de sécurité). De l’autre, définir et documenter ces mêmes connexions.
Sur la sécurisation des accès distants aux SI
L’ANSSI attend des EI des mécanismes de chiffrement et d’authentification conformes à ses recommandations. Mais elle n’attend pas nécessairement de multifacteur avec au moins un facteur de connaissance. Elle n’attend pas non plus des mesures de réduction du risque associé aux accès qui ne peuvent être couverts par du MFA pour raisons techniques ou opérationnelles. Ni un chiffrement et une authentification à l’état de l’art pour les disques des postes de travail et des équipements mobiles qui permettent les accès à distance depuis des lieux qu’elle ne maîtrise pas.
Sur la protection des SI contre les codes malveillants
On attend d’une EI qu’elle définisse les ressources matérielles autorisées à se connecter à ses SI. Mais pas qu’y connectent uniquement celles dont elle – ou un prestataire – assure la gestion et qui particpent à ses activités ou à son MCO/MCS.
Sur la gestion des identités et des accès aux SI
L’ANSSI escompte, de la part des EI, un mécanisme d’authentification impliquant au moins un élément secret. Elle attend des mesures de réduction du risque lorsque des raisons techniques ou opérationnelles empêchent la modification du secret. Mais pas, dans le cadre de cette exception, la mise en œuvre d’une traçabilité des accès.
Sur la maîtrise de l’administration des SI
Il est attendu que les actions d’administration soient effectuées exclusivement à partir de comptes d’administration. Et que ces derniers ne soient pas utilisés à d’autres fins.
L’ANSSI n’attend cependant pas que les EI tiennent à jour la liste des comptes d’administration de leurs SI. Ni que lors de la modification d’un de ces comptes, elles vérifient la cohérence des droits d’accès et des besoins d’utilisation.
Autre élément non attendu des EI : la désignation d’un « cœur de confiance » réunissant un annuaire et les ressources matérielles et logicielles qui l’hébergent ou permettent d’en prendre le contrôle. Ni, par voie de conséquence :
Réalisation des actions d’administration sur ce cœur de confiance depuis des comptes d’administration dédiés à cette tâche
Filtrage des connexions externes au cœur de confiance et à ses ressources d’administration
La revue annuelle de la configuration des annuaires n’est pas non plus un « attendu » pour les EI.
Sur l’identification et la réaction aux incidents de sécurité
Comme les EE, les EI mettront en œuvre des mécanismes d’analyse et de qualification des événements remontés et d’identification des incidents. On n’attend par contre pas d’elles :
Des mécanismes organisationnels et techniques pour réagir en cas d’incident et limiter les conséquences sur la fourniture de services
Une analyse des causes de chaque incident de sécurité
La conservation des relevés techniques pouvant servir d’éléments de preuve en cas de judiciarisation
La protection de ces relevés contre un incident qui les rendrait inexploitables
Sur la continuité et la reprise d’activité
L’ANSSI n’attend pas d’une EI qu’elle définisse et documente, pour chacun de ses activités et services, la durée maximale d’interruption admissible et le point de rétablissement des données. Ni qu’elle ait un PCA et un PRA cohérents vis-à-vis de ces deux indicateurs.
Sur la réaction aux crises d’origine cyber
En la matière, pas d’attentes envers les EI concernant :
Critères permettant d’activer et de désactiver le dispositif de gestion de crise prenant en compte les menaces cyber
Procédures et mécanismes de gestion de crise adaptés à la menace cyber et s’appuyant sur les recommandations de l’ANSSI
Mesures pour isoler, protéger et, le cas échéant, reconstruire les SI concernés
Stratégie de com adaptée
Moyens de communication de secours
Sur les exercices, tests et entraînements
L’ANSSI attend, chez les EI, au moins un exercice sur table – à la fréquence jugée adéquate – pour les personnes mobilisables dans le dispositif de gestion des crises cyber.
Elle n’attend pas, en revanche, de stratégie d’entraînement comportant une liste des acteurs amenés à participer aux différents dispositifs, une liste d’exercices, des objectifs et des moyens d’évaluer leur atteinte, des scénarios de risque ou d’attaques à tester en priorité et une comitologie de suivi.
Connexion
