Un Nouveau Paradigme pour la Cybersécurité

La directive NIS2 marque une rupture avec son prédécesseur, NIS1, en répondant à des menaces systémiques accrues, telles que la criminalité organisée et l'activisme. Vincent Strubel a tenu à préciser que NIS2, bien qu'inspirée de NIS1, s'en différencie largement, notamment par la coconstruction avec plus de 70 fédérations professionnelles et associations d’élus. "NIS2 répond à un paradigme différent et un enjeu différent" - Vincent Strubel, directeur de l'ANSSI.
 

Un Champ d'Application Élargi

Contrairement à NIS1, qui concernait environ 500 entreprises, NIS2 s'appliquera à près de 15 000 entités, incluant notamment des PME et des collectivités territoriales. Ce changement d'échelle pose des défis considérables en matière d'information, d'accompagnement et de mise en conformité. "C'est quand même une multiplication par un facteur important d'entreprises concernées".
 

La Proportionnalité au Cœur des Mesures

Vincent Strubel a insisté sur la nécessité de proportionnalité des mesures de sécurité, particulièrement pour les "entités importantes". Un délai de trois ans, de 2025 à 2028, est envisagé pour permettre aux entreprises de s'adapter aux nouvelles exigences. Il a également souligné que les erreurs de NIS1, notamment en matière de surtransposition, ne seront pas répétées.
 

Maintien de la Confiance des Entreprises

Vincent Strubel a rappelé l'importance de l'ANSSI en tant que "cyberpompier", veillant à ne pas transformer l'agence en une autorité répressive. L'ANSSI doit maintenir la confiance des entreprises, même en temps de crise. La directive NIS 2 marque une différence en privilégiant les sanctions administratives, à l'image du RGPD, plutôt que les sanctions pénales.
 

Un Besoin Crucial d'Accompagnement

Outre les sanctions, une commission des sanctions indépendante sera créée pour garantir l'impartialité des décisions. Vincent Strubel a souligné l'importance de l'accompagnement, notamment en termes de communication, de sensibilisation et d'outillage, particulièrement pour les très petites entreprises (TPE). Un travail de pédagogie et de sensibilisation sera mené, notamment par le biais de contrôles à blanc.
 

Ressources et Financements Nécessaires

Pour mener à bien ces missions, Vincent Strubel n'a pas caché que l'ANSSI et ses partenaires auront besoin de financements et de ressources humaines, l'ANSSI regroupe aujourd'hui 600 personnes. Il a insisté sur la nécessité de mailler le territoire avec les CIRT, les campus cyber, les ministères, les collectivités territoriales et les organisations professionnelles pour créer un écosystème résilient. Une des solutions proposées est la création d'un guichet unique, le "17 cyber ", qui pourrait devenir le nouveau réflexe à adopter.

Deux sites web sont mentionnés lors de l'audition :

• "mon espace NIS 2 ", un portail en version beta permettant aux entreprises de tester leur assujettissement à la directive.
• "mon aide cyber ", un outil permettant de mettre en relation des aidants et des entités ayant besoin d'aide pour faire un premier diagnostic de sécurité.

1. Une délocalisation massive vers l’Asie : 80 % des principes actifs sont désormais produits en Asie, contre 20 % en Europe, renversant les proportions d’il y a dix ans.
2. Une demande mondiale croissante venant des pays émergents en raison d’une amélioration de leur état sanitaire et de l’accroissement de leur niveau de vie.
3. La constitution de monopoles industriels : un nombre limité de fabricants (2 voire parfois même un seul !) couvre l’intégralité du marché mondial de certaines molécules.
4. Des normes européennes très strictes qui, dans le but de protéger l’environnement, les dirigeants et leurs salariés, les prescripteurs et les patients, limitent la compétitivité des laboratoires pharmaceutiques européens face à des concurrents asiatiques qui s’exonèrent de ces mêmes normes car moins contrôlés et moins régulés, même pour leurs productions destinées au marché européen.

• La relocalisation de la production en Europe, malgré des coûts plus élevés, afin de garantir une sécurité de production, d’approvisionnement et de distribution.
   
• Une redéfinition des priorités stratégiques en ciblant les médicaments essentiels et en constituant des stocks adaptés aux pics de variation prévisibles ou possibles de la demande nationale et/ou européenne.
   
• Une coordination européenne pour mutualiser les efforts pour face à des pics exceptionnels de la demande.
   
• Un alignement des normes de production sur les produits importés pour rétablir une concurrence loyale.