Les règles de cybersécurité écrites pour les plus grandes institutions européennes ces dernières années exercent une pression sur des milliers de petites entreprises pour renforcer leurs propres défenses numériques.
Alors que les nouvelles réglementations telles que NIS2 et DORA se propagent à travers les industries, même les fournisseurs modestes doivent agir afin de maintenir les contrats et les clients, entraînant une sorte de « sécurité difficile », où la pression de conformité au sommet renforce la résilience dans l’ensemble de l’économie.
C’est ce que les experts en cybersécurité et les analystes du secteur disent observer dans l’UE et au Royaume-Uni, une région qui, malgré ses propres rivalités internes et son classement bureaucratique, a réussi à passer une variété de règles et de cadres internationaux ces dernières années dans le but d’établir des protocoles de cybersécurité au-delà des frontières.
Bien que chaque nouvel acte ou norme puisse avoir ses défauts et sa part importante de détracteurs, deux tiers des cyberprofessionnels citent le volume et la complexité croissants des réglementations comme un obstacle majeur à la conformité, déclare le Forum économique mondial, cette législation contraste fortement avec les efforts plus muets provenant des États-Unis (par et en général) qui s’opposent à la réglementation. Et comme cette nouvelle tendance à la baisse révèle, les entreprises qui regardent au-delà de la complexité et donnent la priorité à la conformité informatique récoltent des dividendes en aval.
Les observateurs de cybersécurité pointent vers des réglementations visant les secteurs critiques et promulguées ces dernières années, telles que...
- NIS2—Avec son accent sur la sécurisation des services essentiels et des infrastructures critiques dans les États membres de l’UE, cette mise à jour de la Directive sur la sécurité des réseaux et de l’information (NIS) a été adoptée en 2023 et transposée en loi en 2024.
- DORA—Le Digital Operations Resilience Act, conçu pour renforcer la résilience des institutions financières, a été lancé en 2023.
- La loi de l’UE sur l’IA : la première loi au monde régissant l’intelligence artificielle a été adoptée en 2024.
- RGPD—Le Règlement général sur la protection des données, présenté comme la législation la plus stricte au monde en matière de confidentialité des données, a été lancé en 2018.
- Loi britannique sur la cybersécurité et la résilience—Un cadre défini pour moderniser le soutien aux infrastructures nationales critiques et renforcer la supervision des risques de la chaîne d’approvisionnement, passant actuellement par le Parlement britannique et devant être adopté par la loi en 2026.
...qui ont tous commencé à obtenir un effet subtil (et parfois pas si subtil) sur l’ensemble de la chaîne d’approvisionnement cybernétique.
L’impact atteint une masse critique et s’étend bien au-delà de l’Europe : les entreprises américaines et autres entreprises non européennes sont également tenues de prendre en compte ces réglementations lorsqu’elles opèrent sur le marché européen.
« Il ne s’agit pas seulement d’une question descendante ; elle se répercute sur l’ensemble de la chaîne d’approvisionnement », déclare Marc Vael, président du chapitre belge de la Communauté RSSI de l’Organisation européenne de cybersécurité (European Cyber Security Organisation, ECSO), la plus grande fédération indépendante public-privé pour les directeurs de la sécurité de l’information en Europe. « Pas seulement des tiers », ajoute-t-il, « mais aussi des quatrième et cinquième parties. »
Points de pression : lorsque les réglementations cybernétiques deviennent rigoureuses
Chacune des nouvelles réglementations apporte sa propre marque de pression.
« Il ne s’agit pas seulement d’une chaîne descendante ; elle se répercute sur l’ensemble de la chaîne d’approvisionnement. Pas seulement des tiers, mais aussi des quatrième et cinquième parties. »Marc Vael, président, chapitre belge de la Communauté RSSI de l’Organisation européenne de cybersécurité (ECSO)
NIS2 étend la directive originale pour couvrir un plus large éventail d’entités essentielles et importantes. DORA ajoute des exigences rigoureuses en matière de signalement des incidents, de gouvernance et de risques tiers au secteur des services financiers. La loi AI Act et le RGPD vont encore plus loin, en s’appuyant sur les exigences de transparence et de responsabilité. Le non-respect de cette consigne n’est pas seulement une question d’amendes. Dans de nombreux cas, les membres du conseil d’administration peuvent être tenus personnellement responsables, et les organisations risquent de nuire réellement à leur réputation ou de perdre des contrats.
« En pratique, de nombreuses entreprises commencent par se demander : répondons-nous au minimum pour être conformes ? » déclare Edwin van den Heuvel, directeur de l’architecte de solutions ServiceNow chez Tanium, un fournisseur mondial de solutions de cybersécurité de premier plan (et éditeur de ce magazine). « Ils obtiennent un audit papier d’un grand conseiller, puis réalisent qu’ils ignorent encore quels actifs critiques ils possèdent. » La cyber-résilience, il s’avère, commence par une visibilité de 100 % des appareils connectés sur votre réseau. Une fois que vous savez ce que vous exécutez, vous pouvez commencer à le protéger.
Une fois que les entreprises voient les lacunes, elles commencent à cartographier ce qui est connecté, ce qui est essentiel et ce qui est à risque, note van den Heuvel.
Cyberréglementations et réaction en chaîne de la responsabilité
Mais les réglementations ne se limitent pas à motiver les audits internes : elles redéfinissent les relations externes.
« La véritable question est : comment les fournisseurs gèrent-ils leurs propres sous-traitants ? La cybersécurité ne concerne pas seulement votre propre maison, mais aussi les clés que vous donnez à tout le monde. »Sven Hutse, RSSI et conseiller en DSI, Birkin& ;Barre
Les entreprises réglementées, sous pression elles-mêmes, exigent de plus en plus de leurs fournisseurs. Ils envoient des questionnaires, parfois courts, parfois contenant des centaines d’éléments, aux boîtes de réception des partenaires commerciaux de l’économie. Au cours d’une année donnée, le RSSI d’une entreprise de taille moyenne peut devoir répondre à des questionnaires de plus de 160 clients, totalisant plus de 8 000 requêtes individuelles, estime Vael. « C’est écrasant », dit-il. « Vous répondez soit de manière ponctuelle, soit vous publiez de manière proactive des certifications, des audits ou des documents de centre de confiance sur votre site. »
Des observateurs comme Vael voient ce type de divulgation proactive des cyber-protections plus souvent, car la pression de ce qui précède pousse les partenaires vers des défenses plus strictes et une plus grande transparence.
Les fournisseurs qui ne peuvent pas suivre le rythme peuvent se retrouver abandonnés. Et les attentes ne s’arrêtent pas là.
« La véritable question est : comment ces fournisseurs gèrent-ils leurs propres sous-traitants ? » déclare Sven Hutse, directeur de la sécurité informatique et conseiller en informatique du cabinet de conseil Birkin&Barre. « La cybersécurité n’est pas seulement une question de votre propre maison ; elle concerne les clés que vous donnez à tout le monde. »
Van den Heuvel confirme cette dynamique : « Dès que vous ne répondez pas aux exigences en tant que fournisseur, ils disent simplement que nous ne renouvelons pas votre contrat. » Cette pression commerciale garantit que même les petits fournisseurs commencent à respecter les normes initialement destinées aux secteurs critiques.
Cette incitation à la responsabilité crée un nouveau type d’écosystème numérique, où la conformité est contagieuse. Alors que les grandes entreprises imposent des normes de sécurité plus élevées en aval, leurs fournisseurs (et les fournisseurs de leurs fournisseurs) commencent à s’adapter. L’effet ressemble à ce que les épidémiologistes peuvent appeler l’ immunité collective numérique.
« Dans toute l’Europe, vous voyez de moins en moins d’entreprises où la porte d’entrée est ouverte », déclare Vael. « Il y a cinq ans, vous trouveriez toujours quelque chose de mal. Maintenant, c’est l’exception. » Il encourage les organisations à utiliser l’intelligence open source pour vérifier l’honnêteté des sous-traitants dans le remplissage des questionnaires mentionnés précédemment.
Examen des fournisseurs, de SolarWinds aux supermarchés
Des incidents tels que la cyberattaque 2020 contre le fournisseur de logiciels SolarWinds, une violation qui a compromis la sécurité de 18 000 organisations, a forcé les régulateurs et les grandes entreprises à étendre l’ examen de la chaîne d’approvisionnement, ce qui a permis aux petites entreprises de renforcer leurs propres défenses. Chaque violation et ses conséquences renforcent le réseau d’attentes.
« Dès que vous ne répondez pas aux exigences en tant que fournisseur, ils disent simplement que nous ne renouvelons pas votre contrat. »Edwin van den Heuvel, Directeur, Architecte de solution ServiceNow, Tanium
Et ce ne sont pas seulement les entreprises technologiques qui sont vulnérables lorsqu’il s’agit de leurs chaînes d’approvisionnement. Van den Heuvel, qui est basé à Amsterdam, se souvient d’un incident de rançongiciel dans une société de transport néerlandaise qui a interrompu les livraisons de fromage dans les supermarchés et perturbé le réseau logistique alimentaire des Pays-Bas.
« L’absence de fromage sur les étagères, aux Pays-Bas, est pratiquement une urgence nationale », plaisante Van den Heuvel. Mais la leçon, ajoute-t-il, est sérieuse : la résilience dépend désormais autant de la cybersécurité de vos fournisseurs que de la vôtre.
La câpre au fromage n’est pas ponctuelle : une vague de cyberattaques a frappé les livraisons de denrées périssables dans l’UE et au Royaume-Uni cette année, et les analystes prévoient qu’elles pourraient bientôt frapper les États-Unis. Ce type d’incidents souligne la fragilité des systèmes interconnectés. « Les entreprises veulent être sécurisées, mais elles comptent beaucoup sur les autres », déclare Vael. « La confiance doit aller dans les deux sens, en amont et en aval. »
Maintenir cette confiance est coûteux et gourmand en ressources. Les petites entreprises risquent d’être exclues non pas parce qu’elles ne se soucient pas de la sécurité, mais parce que le coût de la preuve est trop élevé. Hutse reconnaît le défi : « Toutes les PME [petites et moyennes entreprises] n’ont pas les moyens d’obtenir une certification ISO 27001 », déclare Hutse, faisant référence à une norme internationale de premier plan pour les systèmes de gestion de la sécurité de l’information. « C’est pourquoi la classification est importante : différents niveaux d’examen en fonction du type de données ou de l’accès impliqué. »
En d’autres termes, sans proportionnalité, la réglementation pourrait devenir auto-défaillante. La loi européenne sur l’IA, d’une part, aborde cette idée avec son cadre basé sur les risques régissant le développement, le déploiement et l’utilisation des systèmes d’IA en Europe. (Les règles, qui prennent effet par étapes, sont déployées jusqu’au 2026.) « Si vous disposez d’un système d’IA qui va toucher l’Europe de quelque manière que ce soit, vous devez penser à la loi européenne sur l’IA », a déclaré Gretchen Scott, un partenaire technologique de Goodwin Law, dans un entretien avec Focal Point l’année dernière, lorsque la loi a été adoptée par le Parlement européen. Scott, qui est basé à Londres, et d’autres avocats encouragent les entreprises à évaluer le niveau de risque de leur système d’IA en fonction des quatre niveaux de la réglementation.
Les responsables de la sécurité peuvent adopter la même approche lorsqu’ils examinent leur chaîne d’approvisionnement. La classification des fournisseurs par risque, comme le conseille Hutse, maintient l’écosystème à la fois sécurisé et inclusif.
En fin de compte, les entreprises équilibrent entre deux pressions : le coût de la mise en œuvre de la cybersécurité et le coût de ne pas être fiables. « Soit vous dépensez maintenant, soit vous perdez des affaires plus tard », déclare Vael.
Cyberréglementations et rôle des outils
Les avancées en matière de cybersécurité, telles que la gestion autonome des endpoints, qui fusionne l’automatisation et les outils de gestion des endpoints, peuvent aider les entreprises à garder le contrôle de la surface d’attaque en expansion. « Vous n’avez pas seulement besoin d’un inventaire », déclare van den Heuvel, « vous avez besoin d’un inventaire vivant , quelque chose de continuellement mis à jour. »
« Vous n’avez pas seulement besoin d’un inventaire, vous avez besoin d’un inventaire vivant, quelque chose de continuellement mis à jour. »van den Heuvel
Mais même les meilleurs outils ne peuvent pas empêcher la vulnérabilité la plus ancienne du livre : le comportement humain. Les experts exhortent les entreprises à fournir une formation et une éducation continues en matière de sensibilisation, mais de nombreuses entreprises manquent. « Moins de la moitié des entreprises disposent de programmes de formation structurés pour la cybersécurité », déclare M. Hutse. « Et plus de 90 % des attaques réussies impliquent une erreur humaine. Nous le savons, et pourtant nous sous-investissons toujours dans les personnes. »
Van den Heuvel soutient que les exigences de DORA en matière de signalement des incidents pourraient changer cet état d’esprit en obligeant les organisations à pratiquer, et pas seulement à promettre, la collaboration : « Les entreprises doivent avoir un processus qui dit : il y a un incident, nous évaluons l’impact et nous le signalons en externe. Cela permet d’avertir d’autres joueurs. » Ce réflexe coopératif, désormais intégré dans DORA, peut être l’un des effets d’ondulation les plus silencieux mais les plus puissants de la réglementation.
Cette sensibilisation doit s’étendre jusqu’au sommet. Les conseils d’administration commencent à prêter attention, non seulement en raison des réglementations, mais parce que leur propre responsabilité est désormais en jeu. Cependant, certains cadres considèrent la conformité comme une liste de contrôle plutôt qu’une approche stratégique de la gestion des risques. « Le véritable objectif n’est pas seulement de cocher des cases », déclare van den Heuvel. « C’est d’être opérationnellement résilient. Si quelque chose se passe mal, à quelle vitesse pouvez-vous détecter, contenir et récupérer ? »
Et à quelle vitesse pouvez-vous informer les autres ? DORA, en particulier, met l’accent sur la nécessité d’un signalement rapide aux régulateurs, mais également aux pairs du secteur. « Si vous êtes frappé, les autres membres de votre écosystème méritent un avertissement », ajoute van den Heuvel.
Vers une économie numérique plus sécurisée
Comme pour le développement durable, où les grandes entreprises ont mené des pratiques plus vertes sur l’ensemble de leurs réseaux, la cybersécurité entre dans une phase où la responsabilité rayonne vers l’extérieur. De nombreuses entreprises n’attendent pas que les lois leur disent quoi faire. Ils agissent hors de la pression du marché, du risque de réputation et, oui, du bon sens.
« La sécurité parfaite n’existe pas. Mais les réglementations, les audits et la pression des pairs vous font penser... Et penser est la moitié de la bataille. »Vael
« De nombreuses entreprises prennent déjà des mesures par elles-mêmes », déclare van den Heuvel. « Vous n’avez pas besoin de lois ou de réglementations pour cela. » Hutse établit la même comparaison avec la durabilité : de nombreuses entreprises ont commencé à améliorer leur empreinte environnementale bien avant que la réglementation ne les y oblige. Le même changement culturel, selon eux, se produit désormais avec la cybersécurité.
« La sécurité parfaite n’existe pas », admet Vael. « Mais les réglementations, les audits et la pression des pairs vous font réfléchir. À propos des sauvegardes, de l’intégration, de la formation, des risques tiers, de la continuité des activités. Et penser est la moitié de la bataille. »
Dans ce nouveau paysage, il ne s’agit pas uniquement de conformité, mais de confiance. Faites confiance à vos fournisseurs pour ne pas vous exposer. Soyez certain que vos outils sont à jour. Faites confiance à vos employés pour ne pas connecter un appareil compromis à la caisse enregistreuse. La cybersécurité peut commencer en haut, mais elle ne s’arrête pas là. Il se répand, par le biais de formulaires, d’audits, de contrats et de conversations, jusqu’à ce que même la plus petite entreprise de la chaîne commence à se demander : que dois-je protéger et comment ?
En fin de compte, le fromage doit être livré. Et dans l’économie numérique, cela signifie que tout le monde joue un rôle dans la sécurité de la chaîne d’approvisionnement.
