La patience est une vertu. Au moment de la rédaction de ce document, le projet de loi sur la cybersécurité et la résilience (CSRB) était en attente d'examen en commission à la Chambre des Lords, début septembre. On espère qu'il sera adopté cette année, après de nombreux reports. Il prévoit notamment d'élargir le champ d'application des organisations concernées, de renforcer les exigences en matière de réponse aux incidents et d'instaurer de nouvelles normes de sécurité minimales.

Mais la suite est peut-être encore plus intéressante. Que nous apprend ce projet de loi sur l'évolution des attentes réglementaires ? Et comment les organisations (y compris celles qui ne sont pas encore concernées) peuvent-elles anticiper les changements à venir ?

Le grand changement

Le titre même de ce projet de loi est révélateur de ses orientations futures. Il s'agit de repositionner la cybersécurité, d'une fonction cloisonnée rattachée à l'informatique, à un élément central de l'organisation. Parallèlement, il met l'accent sur la résilience comme objectif des équipes de sécurité, plutôt que sur la simple protection contre les intrusions et le respect d'une liste arbitraire de contrôles techniques.

Dans ce contexte, la résilience implique d'accepter que des violations de données se produisent – ​​comment pourrait-il en être autrement dans un monde où une IA puissante réduit considérablement la fenêtre d'exploitation et permet aux acteurs malveillants de développer leurs compétences dans de multiples domaines ? L'essentiel est de garantir la continuité des activités de l'organisation tout en maîtrisant la menace et en se rétablissant aussi rapidement que possible.

Cela place la cybersécurité au cœur des discussions des conseils d'administration, car elle touche aux préoccupations majeures des dirigeants d'entreprise : risques opérationnels, continuité des activités, préjudices financiers et d'image.

« Les nouvelles exigences du projet de loi signifient que la cybersécurité et la résilience doivent être considérées par les conseils d’administration comme un enjeu stratégique crucial, et non comme un simple défi informatique », explique James Morris, directeur de l’organisation à but non lucratif CSBR, à IO (anciennement ISMS.online).

« Cela signifie que les attentes des clients seront plus élevées en matière de sécurité et de résilience, tant dans le processus d'approvisionnement que dans la fourniture continue des produits et services. Les questions de cybersécurité et de résilience doivent être au cœur des réflexions de gouvernance et constituer une priorité absolue lors des discussions stratégiques du conseil d'administration. »

Ce message est unanime au sein du gouvernement. Son Code de bonnes pratiques en matière de cybersécurité affirme que le risque cybernétique est un risque d'entreprise et que les administrateurs doivent le maîtriser efficacement. Les responsables de la sécurité géreront les risques et les contrôles au quotidien, mais le conseil d'administration doit assumer la responsabilité de la supervision et de l'assurance des risques. L'Engagement pour la cyber-résilience s'adresse également directement aux dirigeants d'entreprise. Les organisations signataires doivent suivre une formation en gouvernance, s'engager à utiliser le service d'alerte précoce du NCSC, exiger la certification Cyber ​​Essentials pour l'ensemble de leurs chaînes d'approvisionnement et publier des mises à jour annuelles.

En résumé, les attentes vis-à-vis du gouvernement sont de plus en plus claires, et la résilience est au cœur des préoccupations.

Que va-t-il se passer ensuite ?

Dans cette optique, il est également utile de comprendre comment le régime des CSRB pourrait évoluer. En réalité, son champ d'application reste bien plus limité que celui de la NIS2. Mais surtout, il confère au secrétaire d'État le pouvoir de mettre à jour le cadre afin d'y intégrer de nouveaux secteurs et sous-secteurs, ainsi que de modifier les responsabilités et les fonctions de ses organismes de réglementation. La conséquence est claire : si votre secteur n'est pas concerné aujourd'hui, ne présumez pas qu'il le restera demain.

« Lors des discussions, certaines pressions se sont exercées pour aller plus loin, notamment concernant les secteurs du commerce de détail et de l'industrie manufacturière, souvent pointés du doigt comme des lacunes évidentes », explique Dennis Martin, spécialiste de la gestion de crise et de la cybersécurité chez Axians UK, à IO. « Ces secteurs n'ont pas été inclus cette fois-ci, mais compte tenu des attaques dont ont été victimes les détaillants ces dernières années, je m'attends à ce que ce débat revienne sur le tapis en septembre. »

Les exigences du CSRB en matière de chaîne d'approvisionnement étendront indirectement leur champ d'application à de nombreuses organisations, en obligeant les grandes entreprises avec lesquelles elles font affaire à gérer plus rigoureusement les risques liés aux tiers. Elles habilit également le secrétaire d'État à désigner tout fournisseur dont la défaillance pourrait entraîner des perturbations importantes pour une entité réglementée.

« Les autorités de réglementation s'intéressent de plus en plus à la manière dont les services critiques sont fournis au sein de chaînes d'approvisionnement interconnectées, ce qui signifie que la résilience ne peut plus être évaluée uniquement au sein d'une organisation », explique Dave Hughes, associé chez Eversheds Sutherland, à IO. « Un contrôle efficace des principaux fournisseurs et des tiers, appuyé par une surveillance continue et des exigences contractuelles claires, devient un élément essentiel pour démontrer la cyber-résilience. »

Il convient également de noter que le CSRB introduira de nouvelles exigences en matière de cybersécurité et de résilience, du point de vue des contrôles techniques. Le Cadre d'évaluation de la cybersécurité (CAF) du NCSC sera un document clé à cet égard ; toute organisation soucieuse de pérenniser sa stratégie de cybersécurité et de conformité devrait donc en prendre connaissance.

Enfin, un dernier changement majeur : le CSRB donnera aux autorités de réglementation les moyens d’assurer une surveillance réglementaire continue des organismes concernés, rompant ainsi avec le modèle actuel axé sur la gestion des incidents. Ce dispositif reste pour l’instant théorique et dépendra de nombreux facteurs, notamment du financement et des capacités des autorités de réglementation. Il témoigne néanmoins de la volonté croissante du gouvernement de faire de la conformité un enjeu à gérer en permanence.

Connecté et continu

Les experts sont unanimes : « La conformité annuelle statique est obsolète dès lors que les acteurs malveillants n’attendent pas un audit. Si le CSRB était adopté en l’état, les fournisseurs de services cloud, les centres de données et les MSP pourraient être audités avant même qu’un incident ne survienne, et non plus seulement lors d’audits périodiques ou après une attaque », explique Martin d’Axians UK.

« De plus, le projet de loi exige une alerte précoce de 24 heures, suivie d'un rapport complet sous 72 heures, destiné à l'autorité de régulation du secteur et au NCSC. Dans certains cas, une notification du client est également requise. Cela implique une surveillance continue. Sans visibilité permanente de votre réseau, vous ne pourrez pas informer les organismes concernés à temps. »

Aben Pagar, responsable du conseil en risques numériques chez Konexo, partage cet avis. « La surveillance et l’assurance continues prennent une importance croissante à mesure que les autorités réglementaires s’éloignent des évaluations de conformité ponctuelles », explique-t-il à IO. « Les organisations ont besoin d’une visibilité permanente sur les risques, l’efficacité des contrôles et les résultats en matière de résilience. Celles qui peuvent démontrer une surveillance, des tests et une amélioration continus seront probablement mieux placées que celles qui se contentent d’exercices de conformité périodiques. »

Les organisations doivent non seulement abandonner les instantanés ponctuels de leur situation dans leurs programmes de conformité, mais elles doivent également réfléchir plus clairement aux chevauchements qui existent entre des fonctions historiquement cloisonnées, ajoute Pagar.

« Les organisations reconnaissent que la cyber-résilience n'existe pas de manière isolée. Des enjeux tels que la gouvernance de l'IA, la confidentialité, la protection des données et les risques technologiques sont de plus en plus interconnectés, ce qui exige une approche plus globale de la gouvernance et de la gestion des risques », affirme-t-il.

D'après la dernière enquête gouvernementale sur les atteintes à la cybersécurité , une approche aussi aboutie, qui s'appuie sur la conformité continue pour renforcer la résilience, est encore loin d'être une réalité pour de nombreuses organisations. Il ne fait toutefois aucun doute que c'est la voie que suivent les autorités de réglementation.

Morris, du CSRB, décrit la résilience comme « un enjeu à la fois technique et culturel » pour les entreprises.

« Nonobstant les exigences de la nouvelle législation, les organisations doivent s’attacher à intégrer une mentalité et une culture de résilience au cœur de leurs processus métier », conclut-il.

« Cela implique une planification stratégique de la résilience au niveau du conseil d'administration, puis une mise en œuvre cohérente dans les opérations de l'entreprise, avec des plans et des responsabilités clairs pour les opérations clés en matière de résilience. »

Mieux vaut commencer à planifier dès maintenant.

Élargissez vos connaissances

Blog : Comment les ransomwares sont devenus un problème de résilience pour les entreprises

Podcast : Phishing for Trouble S2 E10 : Built to Last : How Compliance Enables Business Resilience

Webinaire : Maîtriser la conformité de la chaîne d’approvisionnement