Comment l’Europe va renforcer
son arsenal contre la cybercriminalité

160 000 entités concernées à l’échelle de l’Union européenne

Avec la directive SRI 2, ce sont ainsi 160 000 entités (de moyenne et grande taille) qui vont devoir renforcer leur niveau de sécurité cyber. En effet, de nouveaux secteurs d’activités doivent s’y conformer : ces nouvelles dispositions de sécurité couvrent des secteurs dits « essentiels » comme l’énergie, le transport, la banque, les infrastructures digitales, les administrations publiques et le secteur de l’espace. 

Les nouvelles règles protégeront également des secteurs dits « importants », comme les services postaux, la gestion des déchets, les produits chimiques, l’alimentation, la fabrication de dispositifs médicaux, l’électronique, les moteurs de véhicules et les fournisseurs numériques. 

Quelles sont les principales mesures de la directive SRI 2 ?

Concrètement, qu’est-ce que cela va changer pour les entités concernées ? Selon les termes de l’UE, elles devront « prendre des mesures techniques, opérationnelles et organisationnelles appropriées pour gérer les risques liés à la sécurité des réseaux et des systèmes d’information ». 

Dans les faits, cela se traduit par exemple par : 

• Analyser les risques encourus,
• Détenir une feuille de route précise avec les mesures qui garantissent la continuité de l’activité,
• Avoir une politique de sauvegarde des données,
• Sécuriser les réseaux,
• Se plier à des procédures d’audit de sa politique cyber,
• Former et sensibiliser les collaborateurs et collaboratrices à la cybersécurité,
• Appliquer une politique de contrôle des accès robuste,
• Utiliser des solutions d’authentification à plusieurs facteurs.

Souvent considérés comme le maillon faible en matière de cybersécurité, les sous-traitants de ces entreprises sont également concernés par l’application de la directive SRI 2.

Vers de nouvelles obligations pour les constructeurs de matériels numériques

Le « Cyber Resilience Act » pourrait prochainement venir compléter les dispositions de la directive SRI 2. Cette proposition de loi a été présentée par la Commission européenne en septembre 2022. Elle va maintenant être examinée par le Parlement européen en première lecture, puis par le Conseil de l’Union européenne. Une fois qu’elle sera définitivement adoptée, les entreprises concernées auront deux ans pour s’y conformer. Cette fois, ce sont les constructeurs de matériels informatiques et d’objets connectés qui devront s’y plier. Le Cyber Resilience Act obligerait les constructeurs à sécuriser leurs appareils numériques, sous peine d’un retrait du marché.

Les constructeurs seront alors responsables de la sécurité de leurs produits durant toute la durée de vie prévue, soit un minimum de cinq ans. Chaque modèle commercialisé devra être sécurisé sous peine d’être retiré du marché. Les constructeurs s’exposent aussi à des amendes en cas de manquement. 

L’UE a visiblement décidé de frapper fort pour mieux se protéger des cybercriminels.