Cybersécurité : «­­ La directive NIS 2 est aussi indispensable que complexe à mettre en place »

En vigueur depuis le 17 octobre, la directive européenne NIS 2 (Network and Information Systems Security) impose de nouvelles obligations pour renforcer le niveau de cybersécurité des tissus économiques et administratifs des pays membres de l’UE. Le point sur ce texte, dont le projet de loi de transposition dans le droit français n’est toujours pas inscrit à l’ordre du jour des débats parlementaires.

En février 2024, les plateformes de tiers-payant Almerys et Viamedis sont piratées. Numéro de Sécurité sociale, état civil, date de naissance… Au total, plus de 33 millions de Français seront concernés par la fuite de leurs données. Un mois après, ce sont les services de l’État qui doivent faire face à une attaque d’ampleur. Hôpitaux, aéroports, entreprises, écoles… Chaque semaine apporte son lot de piratages, et leur nombre ne faiblit pas. « Les attaques informatiques à des fins d’extorsion se sont maintenues à un niveau élevé en 2023 en France, comme en témoigne le nombre total d’attaques par rançongiciel portées à la connaissance de l’Anssi, supérieur de 30 % à celui relevé sur la même période en 2022 », indique l’Agence nationale de la sécurité des systèmes d’information (Anssi) dans son Panorama de la cybermenace.

Renforcer la réglementation

L’intensification des cybermenaces avait déjà conduit le Parlement européen et le Conseil de l’Union européenne à adopter, en 2016, la directive 2016/1148 destinée à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l’Union, sous l’appellation NIS (Network and Information Systems Security). « Depuis 2016, les cyberattaques n’ont cessé de gagner en sophistication, relève Mathieu Bui, avocat au barreau de Paris, associé chez Jasper Avocats, département IP/IT (Intellectual Property/Information Technology) et Data. Elles se sont multipliées et