DORA, NIS2 et CRA: un guide sur le nouveau règlement européen en matière de cybersécurité

Le 17 janvier 2025, un règlement est entré en vigueur et la plupart des entreprises européennes ont passé deux ans à se préparer et beaucoup ne sont toujours pas prêtes à se rencontrer. Il ne s'agit pas d'une règle de protection des données et elle ne vise pas les hôpitaux ni les réseaux énergétiques. Elle s'adressait aux banques, aux assureurs, aux gestionnaires de fonds, aux fournisseurs de paiement et, surtout, aux fournisseurs de technologie qui les maintiennent en activité. Son nom est DORA, et ce n'est que la première des trois vagues réglementaires qui se brisent sur le continent.

Quiconque a passé la dernière décennie à observer l'évolution du droit de la cybersécurité en Europe en connaît le modèle: une nouvelle directive arrive, les États membres la transposent à différentes vitesses, et les entreprises passent des années à poursuivre une cible mobile. Ce qui est différent cette fois, c'est la densité pure. DORA, NIS2 et la Loi sur la cyberrésilience (LCR) ne se remplacent pas. Ils se chevauchent, se croisent et, dans certains endroits, s'excluent délibérément. Pour un leader de la sécurité qui essaie d'élaborer une feuille de route de conformité, c'est à la fois l'occasion et le piège.

Pourquoi l'Europe régule la résilience, pas seulement la vie privée

Le RGPD a enseigné aux organisations européennes à considérer les données à caractère personnel comme une responsabilité ayant un poids légal. La nouvelle génération de règles pose une question plus difficile : pas Quelles données tenez-vous, mais pouvez-vous continuer à fonctionner lorsque quelqu'un vous attaque?

Le changement est délibéré. Les cyberattaques sont devenues plus sophistiquées et plus dommageables, et les secteurs qui maintiennent la société en marche — finance, énergie, transport, santé, télécommunications — sont précisément ceux qui sont les plus interconnectés et les plus exposés. Un seul fournisseur de logiciels compromis peut se lancer dans des centaines d'établissements en quelques heures. Les organismes de réglementation ont examiné cette dépendance et ont conclu que les meilleures pratiques volontaires ne suffisaient pas.

L'objectif, selon les termes du cadre qui sous-tend ces règles, est d'améliorer la résilience opérationnelle — et de le faire de façon holistique, en traitant la sécurité physique et logique comme un problème plutôt que deux. C'est pourquoi ces règlements s'inscrivent dans le cadre d'obligations plus anciennes découlant du RGPD, des règles du secteur des télécommunications, des systèmes de certification tels que la loi européenne sur la cybersécurité et la directive CER sur les entités critiques. Ce n'est pas une pile bien rangée. Il s'agit d'un réseau.

DORA: Résilience Rules for Finance and Its Fournisseurs

DORA — la Digital Operational Resilience Act, règlement (UE) 2022/2554 &mdash, a été publié en décembre 2022 et est devenu directement applicable le 17 janvier 2025. L'expression "directement applicable" est importante: contrairement à une directive, la DORA n'a pas besoin d'être transposée en droit national. Il s'applique comme écrit, dans chaque État membre de l'UE, le même jour.

Son premier travail est l'harmonisation. Avant la DORA, une banque, un assureur, un fonds de pension et un gestionnaire de fonds pouvaient faire face à des règles nationales différentes en matière de risques liés aux TIC. La DORA les tire sous un seul cadre et, ce faisant, élargit le filet pour couvrir un plus grand nombre d'entités que n'importe quel régime national.

Son deuxième travail est où les choses deviennent inconfortables pour la chaîne d'approvisionnement. La DORA oblige les institutions financières à maintenir un cadre solide de gestion des risques liés aux TIC et cette obligation est transmise directement en aval aux fournisseurs de technologies qui soutiennent leurs services et produits essentiels. Si vous vendez une infrastructure critique, un cloud ou un logiciel à une banque européenne, la DORA fait maintenant partie de vos négociations contractuelles, que vous soyez basé à Francfort ou à San Francisco.

Ce que le secteur financier doit maintenant démontrer

• Un cadre documenté de gestion des risques TIC au niveau du conseil d'administration, pas un dossier de politiques que personne ne lit
• Déclaration d'incident aux autorités compétentes dans des fenêtres étroites et définies
• Essais réguliers de résilience, y compris les tests de pénétration dirigés par la menace pour les entités importantes
• Surveillance et contrôles contractuels sur les fournisseurs tiers essentiels de TIC

Pour notre part, nous avons vu les exigences d'essai changer les conversations plus rapidement. Les tests de pénétration dirigés par la menace en vertu de la DORA ne sont pas des analyses à cocher. Il s'agit d'un exercice axé sur le renseignement conçu pour répondre à une question précise : si un attaquant compétent et motivé visait notre fonction la plus critique, serions-nous toujours en mesure de régler les paiements, de traiter les réclamations ou de garder le grand livre droit?

Note: DORA est maintenant en phase de fonctionnement et de maintenance. Les organismes de réglementation et les institutions tirent des leçons des tests réels et des rapports d'incidents réels, et ces leçons sont susceptibles de façonner les meilleures pratiques dans d'autres secteurs et mdash; particulièrement en ce qui a trait à la continuité des activités et à la sécurité de la chaîne d'approvisionnement.

NIS2: Dix-huit secteurs, One Baseline

Si DORA est un instrument spécialisé, NIS2 est l'instrument général. La directive (UE) 2022/2555, adoptée en décembre 2022, remplace et renforce la directive NEI originale par un cadre juridique unifié couvrant 18 secteurs critiques, généralement applicables aux moyennes et grandes entreprises.

La relation entre les deux vaut la peine d'être précisée, car elle fait monter les gens. Le secteur financier est exclu de la NIS2 parce que DORA est lex specialis — la loi spécifique qui prime la loi générale. Si vous êtes une banque, vous suivez DORA. Si vous êtes un opérateur de télécommunications, un service de distribution d'eau, un hôpital, un fournisseur numérique ou un fabricant dans l'un des secteurs couverts, NIS2 est votre référence.

NIS2 élève la barre dans plusieurs directions à la fois. Elle étend les obligations de gestion des risques et de notification à bien plus de secteurs, y compris les télécommunications, qui avaient auparavant leur propre régime distinct. Elle exige que les stratégies nationales de cybersécurité soient mises à jour. Elle impose des exigences plus strictes en matière de sécurité de la chaîne d'approvisionnement. Et cela pousse la responsabilisation à la hausse : la haute direction est maintenant censée posséder les résultats de la cybersécurité, et non les déléguer à une équipe technique et à l'espoir.

Le problème de transposition

Voilà la friction. NIS2 est une directive, ce qui signifie que chaque État membre doit l'écrire en droit national. La plupart ont été lents. L'Espagne a ouvert son processus de transposition le 16 janvier 2025 par une consultation publique sur un avant-projet de loi sur la coordination et la gouvernance de la cybersécurité. D'autres pays sont à divers stades, certains plus loin, d'autres en retard.

Ce calendrier décalé crée une situation vraiment embarrassante pour les multinationales: la même société peut être pleinement étendue dans un pays et à peine réglementée dans un autre, avec différents portails d'information, différents seuils et différentes autorités de surveillance. La directive envisage également d'abroger les obligations sectorielles en matière de cybersécurité qui étaient précédemment prévues dans la loi générale sur les télécommunications et doit être maintenue en cohérence avec les obligations de la directive CER pour les entités critiques.

Attention : n'attendez pas que votre transposition nationale soit finalisée avant d'agir. Les obligations — évaluations des risques, mesures de sécurité, rapports d'incident dans de brefs délais, conformité démontrable — sont déjà claires dans le texte de la directive. Les entreprises qui commencent en retard établiront des contrôles dans un délai qu'elles ne contrôleront plus.

L'ARC : La sécurité arrive au produit elle-même

La troisième vague cible quelque chose que les deux premiers laissent largement seuls : les produits que vous achetez. Le règlement (UE) 2024/2847, la loi sur la cyberrésilience, est entré en vigueur le 10 décembre 2024. Ses principales obligations s'appliquent à partir du 11 décembre 2027 — une date qui semble lointaine jusqu'à ce que vous comptiez le travail en cause.

Lorsque DORA et NIS2 réglementent la prestation de services, l'ARC réglemente les produits à éléments numériques : logiciels et matériel, des appareils grand public aux composants industriels. Il existe parce que le marché a constamment sous-fourni de la sécurité. Les acheteurs ne peuvent pas facilement dire si un produit a été construit en tenant compte de la sécurité, et les fabricants n'ont guère eu d'incitation à y investir après la vente.

L'ARC change cela avec un ensemble de fonctions de verrouillage :

• Sécurité par la conception, intégrée dans le produit dès le début plutôt que boulonnée sur
• Gestion de la vulnérabilité tout au long de la durée de vie soutenue du produit
• L'obligation d'expédier des mises à jour de la sécurité et de continuer à les expédier
• Rapport de vulnérabilité incident et activement exploité
• Évaluation de la conformité et marquage CE en vertu du règlement
• Responsabilités en matière de transparence envers les utilisateurs
• Responsabilité claire attribuée aux fabricants, aux importateurs et aux distributeurs

L'élément de marquage CE est celui à surveiller. Il transforme la cybersécurité d'une revendication de marketing en une condition d'accès au marché, de la même manière que la marque CE fonctionne déjà pour la sécurité électrique. Si votre produit n'est pas conforme, vous n'êtes pas simplement confronté à des dommages de réputation — vous risquez d'être incapable de le mettre sur le marché européen. L'ARC s'associe également à des initiatives d'étiquetage comme le Cyber Trust Mark américain pour les appareils IoT, qui s'inscrit dans le cadre d'un effort international plus vaste visant à rendre la sécurité visible et comparable au point d'achat.

Où les trois règlements collident — et où ils aident

Lire ensemble, les trois instruments couvrent une quantité frappante de terrain. Le tableau ci-dessous résume les différences pratiques qu'une équipe de conformité doit garder à l'esprit.

La complexité n'est pas seulement dans chaque règlement individuellement. C'est dans l'interopérabilité entre eux, les délais qui ne s'alignent pas, et le fait que différentes autorités compétentes les interpréteront et les appliqueront. Une entreprise qui est une banque, un fournisseur de logiciels et un fabricant d'appareils connectés pourrait vraisemblablement se trouver responsable de trois régimes de surveillance différents à la fois, chacun avec sa propre plate-forme de déclaration et sa propre idée de ce que « notification en temps opportun » signifie.

C'est là que le véritable défi pour les autorités est trop — et le texte source est rafraîchissant à ce sujet. Les organismes de réglementation doivent promouvoir la plus grande simplicité possible, y compris dans les plates-formes de gestion et de déclaration des incidents et dans les régimes de certification. Ils doivent s'assurer que les ressources sont disponibles, fournir des conseils aux entreprises et coordonner efficacement les activités entre les secteurs afin que les obligations qui se chevauchent ne deviennent pas contradictoires.

Certification en tant qu'écoutille d'évacuation

Un fil pratique traverse tout cela : des systèmes de sécurité établis et des certifications internationales, comme la famille ISO 27000, se consolident en tant que tissu conjonctif qui rend la conformité extensible. Si votre organisation gère déjà un ISMS mature, vous ne commencez pas à zéro. Vous comparez les contrôles existants aux nouvelles obligations — un exercice beaucoup moins cher que la construction à partir de zéro.

Pour les entreprises qui ont investi dans l'ingénierie réelle de la sécurité plutôt que dans la paperasserie, le nouveau régime est moins lourd qu'il ne semble. Les organisations qui luttent le plus seront celles dont les contrôles n'existent que sur papier, car ces règlements demandent de plus en plus de preuves : résultats d'essais, délais d'incident, attestations de chaîne d'approvisionnement, évaluations de la conformité.

Important: Ces règlements changent le fardeau de la preuve sur vous. Démontrer la conformité — au moyen de tests, de documentation et de rapports — est maintenant aussi important que d'y parvenir. Un contrôle non testé et un contrôle absent semblent identiques à un superviseur.

Ce que cela signifie pour votre programme de sécurité

Reculez du détail juridique et d'un tableau cohérent. L'Europe a décidé que la résilience numérique est une infrastructure, pas une préoccupation informatique, et elle utilise la réglementation pour forcer le marché à se comporter en conséquence. Les trois instruments s'attaquent au problème sous trois angles : la continuité opérationnelle du système financier (DORA), l'hygiène de base des secteurs critiques (NIS2) et la sécurité des produits dont tout le monde dépend (CRA).

Pour un chef de file en matière de sécurité, la réponse pratique n'est pas d'élaborer trois programmes de conformité distincts. Il s'agit de construire un programme de sécurité solide et de le tracer vers l'extérieur. Commencez par une évaluation honnête des risques dans l'ensemble de vos services essentiels. Inventez vos fournisseurs et comprenez lesquels sont essentiels. Obtenez votre capacité de détection d'incident et de rapport à une norme où vous pourriez rencontrer une fenêtre de notification 24 heures sur 24 sans panique. Et testez — vraiment testez — les contrôles que vous prétendez avoir, parce que chacun de ces régimes demande finalement des preuves.

Les délais sont décalés, mais ils ne sont pas généreux. DORA est déjà en vie. Les obligations des NIS2 se cristallisent pays par pays. Les principales obligations de l'ARC ont été établies en décembre 2027, soit environ deux cycles complets de développement de produits pour la plupart des fabricants de matériel. Les organisations qui considèrent cela comme une occasion stratégique de durcir leurs opérations, plutôt qu'un exercice de paperasserie pour survivre, se trouveront non seulement conformes mais vraiment plus difficiles à franchir. C'est, en fin de compte, le point.