Juridique

Grand Th�ma : NIS2, extension du domaine r�glement� de la cyber

---

Dans le cadre de notre Grand Th�ma CIO et Le Monde Informatique � cybers�curit� : assurer la r�silience �, nous avons consacr� une �mission � la directive europ�enne NIS2 au p�rim�tre �tendu � plusieurs milliers d'organisations. Alors que les d�crets sont loin d'�tre publi�s, nous avons re�u le RSSI du CHU de Brest, �galement secr�taire g�n�ral du club RSSI Sant�, et la directrice du CERT Aviation, pour �voquer des pistes de pr�paration pour les structures concern�es et le r�le des associations sectorielles.

Publicit�Depuis mi-octobre, NIS2, deuxi�me mouture de la directive europ�enne de protection des r�seaux et des syst�mes d'information de secteurs �conomiques essentiels, a �t� transpos�e en France. Il faudra encore probablement attendre plusieurs mois et la publication des d�crets, pour en connaitre les implications techniques d�taill�es pour les RSSI et DSI. D'autant que, si NIS1 ne concernait que quelques centaines d'organisations, le p�rim�tre d'application de NIS2 s'�tend � plusieurs milliers d'entre elles et concerne d�sormais l'ensemble de leur SI. Dans ces conditions, nous avons donc choisi de consacrer une �mission de notre Grand Th�ma CIO / Le Monde Informatique � cybers�curit� : assurer la r�silience � � la fa�on dont les structures concern�es pouvaient d'ores et d�j� se pr�parer.

CHU de Brest, �tendre NIS1 � tout le SI

Notre premier invit�, Jean-Sylvain Chavanne, RSSI du CHU de Brest et du GHT de Bretagne Occidentale, confirme ainsi que les d�crets conditionneront les ressources humaines et financi�res n�cessaires � la mise en conformit� des organisations. Mieux vaut donc ne pas attendre sans rien faire. Ainsi, le CHU de Brest, qui �tait d�j� soumis � NIS1, a entrepris d'�tendre ce niveau de conformit� � l'ensemble de ses syst�mes d'information. Et, comme l'indique son RSSI, il est d�j� possible, voire indispensable de commencer � identifier les p�rim�tres applicatifs vis�s, et � pr�parer la cartographie associ�e. Dans ce secteur o� certains �quipements, par exemple, sont d�j� soumis � des contraintes cyber, il est �galement attentif aux incompatibilit�s avec la directive.

Regardez notre �mission consacr�e � NIS2

C'est d'ailleurs ce type d'informations que le club RSSI Sant�, association des RSSI d'�tablissements hospitaliers, glane � destination de l'Anssi, afin que l'application de la directive se fasse dans les meilleures conditions le temps venu. Jean-Sylvain Chavanne, qui en est le secr�taire g�n�ral, insiste ainsi sur l'int�r�t pour les structures concern�es par NIS2 de se tourner vers ces organisations sectorielles afin de se faire accompagner dans la d�marche de conformit�. D'autant que, comme il le rappelle, avec des milliers d'organisations concern�es, l'Anssi pourrait �tre moins disponible pour r�pondre aux sollicitations qu'avec NIS1.

CERT Aviation, accompagner les plus petits

Notre deuxi�me invit�e, Marion Buchet, est d'ailleurs aux commandes du CERT aviation, centre de ressources de veille, d'alerte et de ressources, cr�� il y a deux ans, ouvert � toutes les organisations de l'a�ronautique et du spatial. Les 9 membres fondateurs (dont Airbus, Dassault Aviation, la DGAC, etc.) mettent � disposition, par le biais de cette structure, un accompagnement cyber des plus petits. Avec l'objectif clair de s�curiser l'ensemble de la chaine de valeur.

Publicit�Les missions du CERT Aviation recouvrent la veille sectorielle sur la menace sp�cifique � ces secteurs, que sont l'activisme et le vol de propri�t� intellectuelle, et l'accompagnement des membres en mati�re de pr�vention et de r�action � des attaques. L'association propose par exemple d�j� un service de r�ponse � incidents en 24/7 s'appuyant sur des prestataires.

Si les grands acteurs de ces secteurs tr�s techniques et r�gul�s ont des �quipes form�es, Marion Buchet explique qu'il n'en va pas forc�ment de m�me chez les plus petits, avec des ressources internes plus modestes qu'il faut donc accompagner. Et, comme notre premier invit�, la directrice du CERT Aviation a rappel� qu'en attendant les d�crets, qui pourraient en particulier d�finir le r�le des CERT, il faut se pr�parer pour la remont�e obligatoire d'informations vers l'Anssi, l'obligation de gestion des risques et le partage d'informations en cas d'incidents.

Regardez l'int�gralit� de notre Grand Th�ma � Cybers�curit� : assurer la r�silience �

Article r�dig� par

Emmanuelle Delsol, Journaliste
Suivez l'auteur sur Linked In,

Partager cet article