L’ANSSI nous aide en publiant une FAQ

L’ANSSI nous aide en publiant une FAQ. L’agence travaille sur la transposition de la directive NIS2.

L’ANSSI nous aide en publiant une FAQ

La transposition de la directive NIS2 (Network and Information Security) en droit français est sous la responsabilité de l’ANSSI. Le délai est très court. La mise en œuvre est prévue pour 2024.

Le règlement NIS2 doit être complété par des décrets qui vont définir les entreprises, collectivités et opérateurs de l’Etat qui seront soumis à cette obligation de mettre en œuvre des dispositifs de continuation d’activités numériques (résilience).

Actuellement L’ANSSI a pris contact avec chacune pour les informer, plus de 600 sont directement concernées.

Quelles sont les questions que nous avons sélectionnées pour vous

Pour aider les entreprises, collectivités et opérateurs à se repérer, une FAQ NIS2 est disponible en ligne.

Nous allons regarder ensemble quelques points clés du dispositif.

Il y a une première question qui est déjà, comment savoir si je suis concerné par NIS2 ?

La réponse est claire et en même temps elle est vaste. Dans ma précédente vidéo sur NIS2, j’évoquais ce sujet.

Dans la directive, la liste des industries concernées est clairement notée dans les annexes. En particulier concernant les services publics, les collectivités et opérateurs de l’Etat.

L’objectif de NiS2, c’est que l’économie ne s’arrête pas et un des objectifs d’une administration d’État c’est de fonctionner et d’assurer la continuité de service. Forcément le secteur public va être très très concernée.

Les Entités Essentielles ou EE

Les EE englobent les opérateurs publics et privés dans les secteurs de :

• l’énergie,
• transport,
• banque,
• infrastructures des marchés financiers,
• santé,
• eau potable,
• eaux usées,
• infrastructures numériques (fournisseurs de services de cloud computing, de data centers, de DNS…) des administrations publiques et de l’espace. ³

Les Entités Importantes ou EI

Les EI concernent quant à elles les :

• opérateurs publics et privés dans les secteurs des services postaux et des services de courrier,
• la gestion des déchets,
• la fabrication, production et distribution de produits chimiques,
• la production, transformation et distribution de denrées alimentaires,
• la fabrication de divers équipements.

Sont également considérés comme EI, les fournisseurs de services numériques suivants :

• les marketplaces en ligne,
• les moteurs de recherche,
• les plateformes de réseaux sociaux.

Je suis une collectivité est-ce que je suis concerné par NIS2 ?

La réponse est ambivalente. C’est oui, mais il y aura des listes incluses dans le décret à venir.

Mais compte tenu du fait que les collectivités sont considérées par l’ANSSI comme peu armées, elles seront très concernées par NIS2. Il est prévisible qu’elles seront presque toutes concernées quelle que soit la taille.

Le décret devrait être très large sur le périmètre des services publics concernés pour qu’ils puissent faire les efforts nécessaires afin que l’État se retrouve pas en péril.

Comment seront définis les critères, le secteur public n’a pas de chiffre d’affaires ?

Déjà la directive prévoit 600 types d’identités différentes concernées des PME de toutes tailles au CAC40. Les principaux critères sont définis dans le texte. C’est le nombre d’employés et le chiffre d’affaires, mais il y aura des exceptions en particulier pour les collectivités. Qui peuvent, avec peu d’agents, avoir un rôle vital pour la nation.

Existe-t-il un document qui dit ce qu’il faut faire ?

Pour le moment, c’est le travail de l’ANSSI. Documenter le cahier des charges. C’est quelque chose de très important qui devrait être défini.

Etre conforme à la directive NIS2 va dépendre de la hauteur de la barre à sauter pour les entités concernées.

La mise à niveau des systèmes d’informations des administrations va couter très cher. L’ANSSI a une idée de la situation de départ vu le nombre de fois ou elle doit intervenir pour aider les administrations. Elle sait que la marche est haute.

Il y aura de toute façon des moyens à libérer et à mettre en oeuvre et ça va coûter.

A quelle date NIS2 sera vraiment applicable ?

C’est prévu pour octobre 2024 donc c’est dans un an. Cela va aller très vite et ça va être très très puissant puisque il y aura vraiment un effort important à faire.

Pensez aux petites et moyennes entreprises et aux collectivités, ça va être un enjeu très fort et le délai est quand même hyper court.

Est-ce que l’ANSSI aura les moyens de ses objectifs ?

L’agence va changer de dimension. Elle va mettre en place des nouveaux services et des nouveaux moyens. Le budget va doubler sur la période et le nombre d’agents va augmenter de 45 personnes.

Reste à savoir ce que les députés vont voter comme budget pour cette agence et pour que le secteur public se transforme. Cela va faire partie des des éléments qui vont permettre d’avoir une vison du niveau de sérieux politique sur ce sujet.