Cybersécurité: les secteurs "hautement critiques" bientôt inscrits dans la loi

Après moult rebondissements et un retard qui vaut à la France d'être poursuivie devant la Cour de justice de l’Union européenne, les députés vont enfin examiner pour de bon le projet de loi relatif au renforcement de la cybersécurité et à la résilience des infrastructures critiques dans l'hémicycle. Et ce grâce au rejet du budget, qui a permis d'ouvrir un trou dans l'agenda parlementaire surchargé.

Attendu depuis plusieurs mois, le texte transpose plusieurs directives européennes, dont celle dite "NIS 2". Celle-ci vise à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l'espace européen, alors que ce dernier est régulièrement victime de cyberattaques. En France, tout particulièrement, plusieurs administrations ont été victimes de fuites de données durant l'été. Plus récemment, une douzaine de pays européens, dont la France, ont été touchés par des cyberattaques visant des réfrigérateurs et congélateurs de supermarchés.

Cette fragilité illustre la nécessité de renforcer la prévention contre les menaces, susceptibles désormais de cibler l'ensemble du tissu social et économique. C'est justement l'objet de la directive NIS 2, qui élargit les domaines concernés par des obligations de protection en la matière.

De 6 à 18 secteurs régulés

Le nombre de secteurs d'activités régulés va passer de six à 17 secteurs, classés selon leur importance critique, directement inscrits dans la loi. Les dix secteurs hautement critiques pour le fonctionnement de l'économie sont les secteurs de l'énergie, des transports, des banques, des infrastructures des marchés financiers, de la santé, de la distribution d'eau potable, des eaux usées, de l'infrastructure numérique, et de la gestion des services des technologies de l'information et de la communication.

S'ajoutent huit secteurs critiques, qui sont les services postaux, la gestion des déchets, la production et le transport de produits chimiques, la fabrication et le transport d'aliments, la fabrication de certains équipements et produits et de certains services numériques. Un décret viendra préciser les modalités précises de cette typologie.

Une hausse des entités régulées

En parallèle, les entités régulées - qui doivent appliquer des obligations de sécurité - vont passer de 500 à près de 15 000. Là encore, elles se décomposent en deux catégories, selon des critères précis fixés par la loi. Les entités essentielles sont celles qui devront remplir les obligations les plus poussées. Il peut s'agir d'entreprises qui appartiennent à un secteur "hautement critique", dont les effectifs sont au moins de 250 personnes et dont le chiffre d'affaires annuel est supérieur à 50 millions d'euros, des administrations centrales, de 1 500 collectivités locales, de certains prestataires de services, des acteurs de la chaîne d'enregistrement, des services départementaux d'incendie et de secours... Ont en revanche été exclues, à ce stade, les entités relevant de la sécurité nucléaire, les parlementaires souhaitant que la France puisse exercer sa compétence exclusive en la matière.

Les entités importantes devront elles aussi remplir des mesures de cybersécurité, toutefois moins exigeantes que celles qui s'appliquent aux entités essentielles. Là encore, sont concernées certaines entreprises, des opérateurs de communications électroniques, certaines collectivités territoriales comme les communautés de communes, certains établissements publics de santé et services sociaux. Par ailleurs, le Premier ministre pourra à l'avenir désigner par arrêté toute autre entité qu'il juge utile d'être reconnue comme essentielle ou importante.

Le cyber-pompier de l'État, l'Anssi (Agence nationale de la sécurité des systèmes d'information) sera chargé d'établir et de mettre à jour la liste des entités essentielles et importantes. Dans l'attente de la transposition de la directive NIS 2, l'Anssi a d'ores et déjà publié une version de travail du référentiel qui a pour vocation de devenir le socle de réglementation cyber. Il reprend quinze objectifs de sécurité obligatoires à atteindre aussi bien pour les entités importantes qu’essentielles, dont une obligation d'enregistrement, mais aussi une obligation de déclaration de fuites de données ou d'incident cyber important. Les entités essentielles devront respecter cinq objectifs supplémentaires. Un espace dédié NIS 2 a été mis en place sur le site de l'Anssi, listant mesures juridiques, techniques et organisationnelles qui devront être mises en œuvre.

En cas de manquement aux obligations de cybersécurité, les entités régulées s'exposeront à des sanctions. Celles-ci seront proportionnées aux manquements, et pourront durement toucher au portefeuille de ceux qui se seront soustraits à leurs obligations : la directive prévoit en effet que les sanctions pourront aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial des entités essentielles, et 1,4 % des entités importantes. Il ne reste désormais plus qu'à attendre la promulgation de loi, certaines entreprises attendant d'être assurées de leur statut précis.