L’Agence nationale de la sécurité des systèmes d’information (ANSSI) se concentre sur la mise en œuvre de la directive NIS 2, un règlement de l’Union européenne visant à renforcer la cybersécurité dans les États membres. Lors de l’introduction des Security Assises, un événement majeur en cybersécurité, les discussions ont porté sur les défis liés à l’application de la NIS 2. Vincent Strubel, directeur général de l’ANSSI, s’est adressé à la commission spéciale de l’Assemblée nationale au sujet de cette directive, initialement prévue pour un débat public le 7 octobre, mais reportée indéfiniment en raison d’un calendrier parlementaire chargé. Strubel a souligné que le projet de loi NIS 2 est conçu pour être « neutre sur le plan technologique », c’est-à-dire qu’il ne favorise aucune technologie ou méthode spécifique. Il a indiqué qu’il serait efficace contre la plupart des récentes cyberattaques ayant entraîné des vols de données en France. Les échéances pour la mise en œuvre de la directive influencent la préparation des organisations, notamment en matière de planification budgétaire, un point souligné par les entreprises françaises de cybersécurité. Strubel a précisé que les entités concernées disposent d’un délai de trois ans pour se conformer pleinement, avec une date butoir fixée à fin 2028. Cette période inclura des phases de test pour anticiper les futurs défis et évaluer les capacités de supervision de l’ANSSI. La directive NIS 2 s’inscrit dans une stratégie nationale plus large en matière de cybersécurité, lancée en janvier, ainsi que dans une feuille de route pour la sécurité de l’État publiée en avril. D’ici le 31 décembre 2026, différents ministères devront mener des actions telles que l’audit des systèmes informatiques, l’homologation des systèmes critiques et le déploiement de technologies EDR ou XDR sur l’ensemble des postes de travail et des serveurs. L’ANSSI a observé que certains projets, initialement estimés à trois ans, ont été réalisés en seulement trois mois. Cependant, la mise en place de méthodes d’authentification robustes, comme l’authentification multifactorielle, s’avère difficile, notamment en raison du recours à de nombreux services numériques externalisés. L’ANSSI travaille également à améliorer la transparence, comme en témoigne un rapport sur la DGFiP, l’administration fiscale française, qui a révélé des failles de sécurité élémentaires. Cette initiative s’inscrit dans le cadre du programme REACTIV, qui vise à remédier à ces problèmes et à encourager des échanges ouverts sur les bonnes pratiques en cybersécurité. Strubel a reconnu la nécessité de dépasser une certaine modestie mal placée et de se concentrer sur des pratiques de sécurité fondamentales plutôt que sur l’usage de mots à la mode. Le Cyber Resilience Act (CRA), une autre réglementation importante, entrera en vigueur le 11 décembre 2027. Contrairement à la NIS 2, il n’est pas lié au calendrier parlementaire. Bien que la commission spéciale de l’Assemblée nationale ait envisagé de fusionner le CRA avec la NIS 2, l’ANSSI s’y oppose, arguant qu’une telle mesure ne s’appliquerait qu’aux éditeurs basés en France. Concernant les sous-traitants, l’ANSSI estime que l’approche actuelle est suffisante, les exigences étant appliquées indirectement via les contrats. L’agence affirme être prête à assumer ses nouvelles responsabilités liées à la NIS 2, ayant adapté ses opérations en collaboration avec les services de l’État, le secteur privé et les collectivités locales. Malgré ses 670 ETP (équivalents temps plein), le directeur général de l’ANSSI souligne que la structure de l’agence est plus rationalisée que celle du BSI allemand, qui compte entre 1 800 et 2 000 ETP pour des missions similaires.