De NIS2 à DORA : Concevoir un programme de cybersécurité unifié pour la conformité réglementaire et la résilience

Le paysage réglementaire de l'Union européenne en matière de cybersécurité évolue rapidement, imposant des exigences sans précédent aux organisations de divers secteurs. La Directive sur la sécurité des réseaux et des systèmes d'information 2 (NIS2) et le Règlement sur la résilience opérationnelle numérique (DORA) représentent des efforts législatifs importants pour renforcer la cyber-résilience et la continuité opérationnelle au sein des infrastructures critiques et du secteur financier, respectivement. Bien que ciblant des champs d'application organisationnels différents, ces deux directives convergent vers une exigence fondamentale : la démonstration d'une gestion robuste des cyber-risques. Naviguer dans ces mandats complexes nécessite un programme de sécurité stratégique et intégré. Cet article explore comment un cadre tel que CIS SecureSuite peut combler le fossé de conformité, offrant une voie pragmatique pour satisfaire à la fois NIS2 et DORA.

L'impératif de NIS2 : Élargissement du champ d'application, approfondissement des exigences

NIS2, entrée en vigueur en janvier 2023 et devant être transposée en droit national d'ici octobre 2024, étend considérablement le champ d'application de sa prédécesseure, la Directive NIS. Elle couvre désormais un éventail beaucoup plus large d'entités "essentielles" et "importantes", y compris des secteurs tels que l'énergie, les transports, la santé, les infrastructures numériques, l'administration publique et certaines industries manufacturières. Son objectif principal est d'améliorer le niveau global de cybersécurité dans l'ensemble de l'UE en imposant des exigences strictes à ces entités. Les domaines clés incluent :

Mesures de gestion des risques : Les organisations doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des systèmes de réseau et d'information. Cela inclut des politiques d'analyse des risques et de sécurité des systèmes d'information, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d'approvisionnement et la gestion des vulnérabilités.
Notification des incidents : La notification obligatoire des incidents aux autorités compétentes est une pierre angulaire, soulignant la nécessité d'une notification rapide des incidents significatifs.
Sécurité de la chaîne d'approvisionnement : Un accent critique sur la sécurité de l'ensemble de la chaîne d'approvisionnement, exigeant des entités qu'elles évaluent et traitent les risques de cybersécurité posés par les fournisseurs de services tiers.
Responsabilité : La haute direction est tenue responsable en cas de non-conformité, ce qui souligne le passage à une plus grande responsabilité organisationnelle.

DORA : Renforcer la résilience du secteur financier

DORA, en vigueur à partir de janvier 2025, est une réglementation novatrice spécifiquement conçue pour le secteur financier. Elle vise à créer un cadre complet pour la résilience opérationnelle numérique, garantissant que les entités financières peuvent résister, réagir et se remettre de tous les types de perturbations et de menaces liées aux TIC. Son champ d'application englobe les institutions financières traditionnelles (banques, assureurs, sociétés d'investissement) et les fournisseurs de services TIC tiers critiques qui les soutiennent. Les cinq piliers clés de DORA sont :

Gestion des risques liés aux TIC : Les entités financières doivent établir et maintenir un cadre de gestion des risques liés aux TIC solide, complet et bien documenté. Cela inclut l'identification, la protection, la détection, la réponse et la récupération face aux menaces liées aux TIC.
Gestion, classification et notification des incidents liés aux TIC : Exigences détaillées pour la gestion et la notification des incidents liés aux TIC, avec des délais stricts et des critères de classification.
Tests de résilience opérationnelle numérique : Les entités doivent effectuer des tests réguliers et complets de résilience opérationnelle numérique, y compris des tests d'intrusion avancés basés sur des menaces (TLPT) pour les fonctions critiques.
Gestion des risques liés aux tiers TIC : Un cadre robuste pour la gestion des risques découlant de la dépendance à l'égard des services TIC tiers, y compris les garanties contractuelles et les mécanismes de surveillance.
Partage d'informations : Encourager le partage de renseignements sur les cybermenaces et les vulnérabilités entre les entités financières.

La convergence : Relier NIS2 et DORA avec une posture de sécurité unifiée

Malgré leurs champs d'application distincts, NIS2 et DORA partagent des points communs significatifs. Les deux exigent une approche proactive et basée sur les risques en matière de cybersécurité, mettant l'accent sur une gouvernance robuste, des capacités de réponse aux incidents, l'intégrité de la chaîne d'approvisionnement et une résilience démontrable. Les organisations soumises aux deux directives, ou celles cherchant à s'aligner sur les meilleures pratiques, bénéficient immensément d'un programme de sécurité unifié qui aborde ces exigences qui se chevauchent de manière holistique.

CIS SecureSuite : Votre plan pour la conformité réglementaire et une résilience renforcée

La CIS SecureSuite offre un cadre puissant et indépendant des fournisseurs pour la mise en œuvre de contrôles de cybersécurité fondamentaux qui correspondent directement aux principes fondamentaux de NIS2 et de DORA. Composée des CIS Critical Security Controls (CIS Controls) et des CIS Benchmarks, elle fournit une feuille de route priorisée et exploitable pour atténuer les cyber-risques.

CIS Controls pour une mise en œuvre stratégique : Les CIS Controls sont un ensemble d'actions priorisées qui forment un cadre de cybersécurité défensif. Leur mise en œuvre systématique aide les organisations à établir une base de sécurité solide. Par exemple :
- Inventaire et contrôle des actifs d'entreprise (CIS Control 1) et des actifs logiciels (CIS Control 2) : Soutient directement l'exigence de NIS2 en matière d'analyse des risques et le cadre de gestion des risques TIC de DORA en fournissant une visibilité fondamentale.
- Récupération de données (CIS Control 10) : Essentiel pour la résilience opérationnelle de DORA et les exigences de continuité des activités de NIS2.
- Gestion des réponses aux incidents (CIS Control 17) : Répond directement aux mandats de gestion et de notification des incidents des deux directives.
- Gestion des risques de la chaîne d'approvisionnement (CIS Control 13) : Fournit des actions concrètes pour répondre aux exigences strictes de gestion des risques tiers en vertu de NIS2 et DORA.
CIS Benchmarks pour un durcissement prescriptif : Les CIS Benchmarks offrent des directives de configuration prescriptives pour plus de 100 produits technologiques. L'adhésion à ces benchmarks renforce les configurations système, réduisant les surfaces d'attaque et soutenant directement les "mesures techniques appropriées et proportionnées" requises par NIS2 et le pilier de gestion des risques TIC de DORA.

Opérationnaliser la conformité : De la politique à la pratique

L'adoption de CIS SecureSuite ne consiste pas seulement à cocher des cases de conformité ; il s'agit d'intégrer une culture d'amélioration continue de la sécurité. Les organisations devraient :

Effectuer une analyse des lacunes : Cartographier la posture de sécurité actuelle par rapport à NIS2, DORA et aux CIS Controls et Benchmarks pertinents pour identifier les lacunes.
Prioriser et mettre en œuvre : Tirer parti de la nature priorisée des CIS Controls pour concentrer les ressources sur les améliorations de sécurité les plus impactantes.
Automatiser et valider : Utiliser CIS-CAT Pro Assessor pour automatiser la validation de la conformité aux benchmarks, garantissant que les configurations restent durcies au fil du temps.
Surveiller et réagir : Établir des capacités robustes de centre d'opérations de sécurité (SOC) pour une surveillance continue, la détection des menaces et une réponse rapide aux incidents.

Pendant la réponse aux incidents ou la chasse proactive aux menaces, la compréhension de la source et de la nature d'une attaque est primordiale. Les outils avancés de collecte de télémétrie deviennent inestimables. Par exemple, dans les scénarios nécessitant une reconnaissance de réseau approfondie ou une attribution des acteurs de la menace, des plateformes spécialisées peuvent aider à collecter des métadonnées cruciales. Des outils comme iplogger.org peuvent être utilisés par les analystes de sécurité pour collecter des données de télémétrie avancées, y compris les adresses IP source, les chaînes User-Agent, les détails FAI et les empreintes numériques des appareils. Ces données granulaires sont essentielles lors des investigations forensiques numériques, aidant à retracer l'origine de liens suspects, à analyser l'infrastructure des attaquants ou à identifier la distribution géographique d'une campagne de phishing. Une telle extraction de métadonnées est cruciale pour enrichir les renseignements sur les menaces et éclairer les stratégies défensives, garantissant que le cycle de vie des incidents est géré efficacement, de la détection à l'analyse post-mortem.

Conclusion

La convergence réglementaire exemplifiée par NIS2 et DORA signale une nouvelle ère de responsabilité et de résilience en matière de cybersécurité. Plutôt que de les considérer comme des charges de conformité disparates, les organisations devraient saisir l'opportunité de construire un programme de sécurité unifié et robuste. En tirant parti de cadres comme CIS SecureSuite, les entités peuvent non seulement satisfaire à leurs obligations réglementaires, mais aussi améliorer considérablement leur résilience cybernétique globale, protégeant les actifs critiques et assurant la continuité opérationnelle dans un paysage de menaces de plus en plus complexe.