La nouvelle directive NIS2 frappe aux portes de l’Europe : l’automatisation pilotée par l’observabilité est essentielle pour s’y conformer.

AVIS D’EXPERT

À ce jour, NIS2 constitue la directive la plus exhaustive en matière de cybersécurité à l’échelle européenne, voire mondiale. Il s’agit d’une évolution de la réglementation initialement introduite en 2016, qui a pour objectif d’imposer des exigences plus strictes en matière de gestion des risques et de déclaration d’incidents de cybersécurité, pour un plus grand nombre de secteurs, et avec des sanctions beaucoup plus sévères en cas de non-conformité. NIS2 doit être transposée dans le droit national d’ici le 17 octobre 2024, il n’y a vraiment pas de temps à perdre.

La directive NIS2 vise à garantir que les organisations soient mieux protégées contre la sophistication et de la fréquence des cyberattaques. NIS2 impose, par exemple, des délais très courts pour déclarer les incidents de cybersécurité. En cas d’incident, les organisations doivent ainsi émettre une alerte rapide dans les 24 heures, puis une notification plus détaillée dans les 72 heures. Cette notification doit notamment inclure une évaluation initiale de l’incident indiquant sa gravité, son impact et les indicateurs de compromission. Un rapport final doit être fourni au bout d’un mois, pour montrer que des leçons peuvent être tirées des incidents précédents.

Pour se conformer aux exigences de NIS2 et mettre en place de solides capacités de gestion des vulnérabilités et des incidents, il est vital aujourd’hui d’optimiser et d’automatiser les processus d’analyses et de compte rendu en matière de sécurité. Les organisations doivent également réfléchir à la façon dont elles peuvent étendre ces capacités pour aller au-delà de la conformité à NIS2. Plutôt que de se concentrer uniquement sur la détection et le compte rendu des problèmes en production, elles devraient chercher à les empêcher de se produire, en adoptant un état d’esprit de sécurité par défaut. Il s’agit de s’assurer que la sécurité est gérée comme un composant critique dans le cycle de vie du développement logiciel.