Les règles en matière de cybersécurité élaborées ces dernières années à l'intention des plus grandes institutions européennes poussent des milliers de petites entreprises à renforcer leurs propres défenses numériques.
À mesure que les nouvelles réglementations de l’ , telles que , notamment les normes NIS2 et DORA, se répercutent sur l’ensemble des secteurs d’activité, même les fournisseurs les plus modestes doivent se mettre à niveau afin de conserver leurs contrats et leurs clients, ce qui engendre une sorte de « sécurité par effet de retombée », où la pression exercée au plus haut niveau en matière de conformité renforce la résilience de l’ensemble de l’économie.
C’est ce que les experts en cybersécurité et les analystes du secteur affirment observer dans l’ensemble de l’Union européenne et au Royaume-Uni, une région qui, malgré ses rivalités internes et ses frictions bureaucratiques, a réussi à adopter ces dernières années toute une série de règles et de cadres internationaux dans le but d’harmoniser les protocoles de cybersécurité au-delà des frontières.
Même si chaque nouvelle loi ou norme peut présenter des défauts et susciter son lot de détracteurs —deux tiers des professionnels de la cybersécurité citent le volume et la complexité croissants des réglementations comme un obstacle majeur à la conformité, selon le Forum économique mondial — cette législation contraste fortement avec les efforts plus timides déployés par les États-Unis (dans l’ensemble) , réticents à la réglementation Et comme le révèle cette nouvelle tendance à l’effet de retombée, les entreprises qui vont au-delà de la complexité et de l’ , et qui accordent la priorité à la conformité informatique , en récoltent les fruits à long terme.
Les experts en cybersécurité mettent en avant les réglementations visant les secteurs critiques et adoptées ces dernières années, telles que…
- NIS2—Axée sur la sécurisation des services essentiels et des infrastructures critiques dans l’ensemble des États membres de l’UE, cette mise à jour de la directive relative à la sécurité des réseaux et de l’information (NIS) a été adoptée en 2023 et transposée dans le droit national en 2024.
- DORA—La loi sur la résilience des opérations numériques (Digital Operations Resilience Act), destinée à renforcer la résilience des établissements financiers, a été promulguée en 2023.
- La loi européenne sur l'IA—La première loi au monde régissant l'intelligence artificielle a été adoptée en 2024.
- sur le RGPD —Le Règlement général sur la protection des données (RGPD), présenté comme la législation la plus stricte au monde en matière de protection des données, est entré en vigueur en 2018.
- Projet de loi britannique sur la cybersécurité et la résilience —Un cadre destiné à moderniser le soutien apporté aux infrastructures nationales essentielles et à renforcer la surveillance des risques liés à la chaîne d'approvisionnement, actuellement en cours d'examen au Parlement britannique et dont l'adoption est prévue dans le courant de l'année 2026.
… qui ont toutes commencé à avoir un impact subtil (et parfois moins subtil) sur l'ensemble de la chaîne d'approvisionnement numérique.
L'impact atteint désormais un seuil critique et s'étend bien au-delà de l'Europe : les entreprises américaines et autres entreprises non membres de l'UE sont elles aussi tenues de tenir compte de ces réglementations lorsqu'elles opèrent sur le marché européen.
« Cela ne se limite pas à une approche descendante ; cela se répercute en cascade sur l’ensemble de la chaîne d’approvisionnement », explique Marc Vael, président de la section belge de la communauté des RSSI de l’Organisation européenne pour la cybersécurité (ECSO), la plus grande fédération indépendante public-privé regroupant les responsables de la sécurité des systèmes d’ s (RSSI) en Europe. « Pas seulement des tiers », ajoute-t-il, « mais aussi des quatrièmes et des cinquièmes parties. »
Les points sensibles : lorsque la réglementation en matière de cybersécurité se durcit
Chacune de ces nouvelles réglementations s'accompagne de ses propres contraintes.
«Ce n’est pas seulement une approche descendante ; cela se répercute en cascade sur l’ensemble de la chaîne d’approvisionnement. » Il ne s'agit pas seulement de tiers, mais aussi de quatrièmes et de cinquièmes parties. »Marc Vael, président de la section belge de la Communauté des RSSI de l'Organisation européenne pour la cybersécurité (ECSO)
La directive NIS2 élargit le champ d'application de la directive initiale afin de couvrir un éventail plus large d'entités essentielles et importantes. DORA impose au secteur des services financiers des exigences rigoureuses en matière de signalement des incidents , de gouvernance, , de gestion des risques liés aux tiers, et de gestion des risques liés aux tiers . La loi sur l'IA et le RGPD vont encore plus loin, en imposant des exigences supplémentaires en matière de transparence et de responsabilité. Le non-respect de ces dispositions n'entraîne pas seulement des amendes. Dans de nombreux cas, les membres du conseil d'administration peuvent être tenus personnellement responsables, et les organisations d' s s'exposent à une atteinte réelle à leur réputation ou à une perte d'activité.
« Dans la pratique, de nombreuses entreprises commencent par se demander : “Répondons-nous aux exigences minimales pour être en conformité ?” », explique Edwin van den Heuvel, directeur et architecte de solutions ServiceNow chez Tanium, l’un des principaux fournisseurs mondiaux de solutions de cybersécurité (et éditeur de ce magazine). « Ils reçoivent un rapport d'audit sur papier établi par un grand cabinet de conseil, puis se rendent compte qu'ils avancent toujours à l'aveuglette quant aux actifs essentiels dont ils disposent. » Il s'avère que la cyber-résilience commence par une visibilité à 100 % des appareils connectés à votre réseau. Une fois que vous savez ce que vous utilisez, vous pouvez commencer à le protéger.
Dès que les entreprises identifient ces lacunes, elles commencent à recenser ce qui est interconnecté, ce qui est essentiel et ce qui est exposé à des risques, note M. van den Heuvel.
La réglementation en matière de cybersécurité et la réaction en chaîne en matière de responsabilité
Mais les réglementations ne se contentent pas de stimuler les audits internes : elles redéfinissent également les relations avec l’extérieur.
«La véritable question est la suivante : comment les fournisseurs gèrent-ils leurs propres sous-traitants ? La cybersécurité ne concerne pas seulement votre propre maison ; elle concerne les clés que vous confiez à tout le monde. »Sven Hutse, responsable de la sécurité des systèmes d'information (RSSI) et conseiller en informatique (DSI), Birkin&Barre
Les entreprises soumises à une réglementation, elles-mêmes sous pression, imposent des exigences de plus en plus strictes à leurs fournisseurs. Ils envoient des questionnaires — parfois courts, parfois comportant des centaines de questions — dans les boîtes de réception de leurs partenaires commerciaux dans tous les secteurs d'activité. Au cours d'une année donnée, le RSSI d'une entreprise de taille moyenne peut être amené à répondre à des questionnaires émanant de plus de 160 clients, ce qui représente au total plus de 8 000 demandes individuelles, selon les estimations de Vael. « C'est bouleversant », dit-il. « Soit vous répondez au cas par cas, soit vous publiez de manière proactive les certifications, les audits ou les documents du centre de confiance sur votre site. »
Des observateurs tels que Vael constatent que ce type de communication proactive concernant les mesures de cybersécurité se généralise, à mesure que la pression exercée par la hiérarchie incite les partenaires à renforcer leurs défenses et à faire preuve d'une plus grande transparence.
Les fournisseurs qui ne parviennent pas à suivre le rythme risquent de se voir écartés. Et les attentes ne s’arrêtent pas là.
« La vraie question est la suivante : comment ces fournisseurs gèrent-ils leurs propres sous-traitants ? », déclare Sven Hutse, RSSI et conseiller en informatique chez le cabinet de conseil Birkin&Barre. « La cybersécurité ne concerne pas seulement votre propre maison ; elle concerne aussi les clés que vous confiez à tout le monde. »
M. Van den Heuvel confirme cette dynamique : « Dès que vous ne répondez plus aux exigences en tant que fournisseur, ils vous annoncent tout simplement qu’ils ne renouvelleront pas votre contrat. » Cette pression commerciale fait en sorte que même les petits fournisseurs commencent à se conformer à des normes initialement destinées à des secteurs critiques.
Cette volonté de responsabilisation donne naissance à un nouvel écosystème numérique, dans lequel le respect des règles fait boule de neige. À mesure que les grandes entreprises imposent des normes de sécurité plus strictes en aval, leurs fournisseurs (et les fournisseurs de ces derniers) commencent à s'adapter. Cet effet s'apparente à ce que les épidémiologistes pourraient appeler « l'immunité collective numérique » ( ).
« Partout en Europe, on voit de moins en moins d’entreprises dont la porte d’entrée est grande ouverte », déclare Vael. « Il y a cinq ans, on trouvait toujours quelque chose qui n’allait pas. » « Aujourd’hui, c’est l’exception. » Il encourage les organisations à recourir à des sources d'information ouvertes pour vérifier que les sous-traitants remplissent en toute honnêteté les questionnaires mentionnés précédemment.
La surveillance des fournisseurs, de SolarWinds aux supermarchés
Des incidents tels que la cyberattaque du 2020 visant le fournisseur de logiciels SolarWinds, une faille qui a compromis la sécurité de 18 000 organisations, ont contraint les autorités de régulation et les grandes entreprises à renforcer la surveillance de la chaîne d'approvisionnement, obligeant ainsi les petites entreprises à renforcer leurs propres défenses. Chaque manquement et ses conséquences ne font que resserrer l'étau des attentes.
«Dès que vous ne répondez plus aux exigences en tant que fournisseur, ils se contentent de dire : “Nous ne renouvellerons pas votre contrat.” »Edwin van den Heuvel, directeur et architecte de solutions ServiceNow chez Tanium
Et les entreprises technologiques ne sont pas les seules à être vulnérables en ce qui concerne leurs chaînes d'approvisionnement. M. Van den Heuvel, basé à Amsterdam, évoque un incident lié au ransomware « » survenu au sein d’une entreprise de transport néerlandaise, qui a entraîné l’interruption des livraisons de fromage aux supermarchés et perturbé le réseau logistique alimentaire des Pays-Bas.
« Ne plus avoir de fromage en rayon, aux Pays-Bas, c'est pratiquement une urgence nationale », plaisante Van den Heuvel. Mais la leçon à en tirer, ajoute-t-il, est sérieuse : la résilience dépend désormais autant de la cybersécurité de vos fournisseurs que de la vôtre.
Cette affaire de fromage n’est pas un cas isolé : une vague d’attaques informatiques « s » a frappé cette année les livraisons en « chaîne du froid » de denrées périssables dans l’Union européenne et au Royaume-Uni, et les analystes prévoient qu’elles pourraient bientôt toucher les États-Unis. Ce type d’incidents met en évidence la fragilité des systèmes interconnectés. « Les entreprises souhaitent assurer leur sécurité, mais elles dépendent énormément de tiers », explique Vael. « La confiance doit être réciproque, tant en amont qu’en aval . »
Maintenir cette confiance coûte cher et mobilise d'importantes ressources. Les petites entreprises risquent d'être exclues, non pas parce qu'elles ne se soucient pas de la sécurité, mais parce que le coût lié à la mise en œuvre des mesures nécessaires est trop élevé. M. Hutse reconnaît la difficulté : « Toutes les PME [petites et moyennes entreprises] n'ont pas les moyens d'obtenir la certification ISO 27001 », explique-t-il, en référence à une norme internationale de référence en matière de systèmes de gestion de la sécurité de l'information. « C’est pourquoi la classification est importante : elle permet d’appliquer différents niveaux de contrôle en fonction du type de données ou d’accès concerné. »
En d'autres termes, sans proportionnalité, la réglementation risquerait de se retourner contre elle-même. La loi européenne sur l’IA, par exemple, aborde cette question grâce à son cadre fondé sur les risques qui régit le développement, le déploiement et l’utilisation des systèmes d’IA en Europe. (Ces règles, qui entrent en vigueur par étapes, s'appliquent jusqu'au 2026.) « Si vous disposez d’un système d’IA susceptible d’avoir une incidence quelconque sur l’Europe, vous devez tenir compte de la loi européenne sur l’IA », a déclaré Gretchen Scott, associée spécialisée dans les technologies au cabinet Goodwin Law, lors d’une interview accordée à par Focal Point l’année dernière, au moment de l’adoption de la loi par le Parlement européen. Scott, qui est basé à Londres, ainsi que d'autres avocats, encouragent les entreprises à évaluer le niveau de risque de leur système d'IA en se référant aux quatre niveaux définis dans le règlement.
Les responsables de la sécurité peuvent adopter la même approche lorsqu'ils examinent leur chaîne d'approvisionnement. La classification des fournisseurs en fonction du risque, comme le conseille Hutse, permet de garantir à la fois la sécurité et le caractère inclusif de l'écosystème.
En fin de compte, les entreprises doivent trouver un équilibre entre deux contraintes : le coût de la mise en place de mesures de cybersécurité et le coût lié à la perte de confiance. « Soit vous investissez maintenant, soit vous perdrez des clients plus tard », déclare Vael.
La réglementation en matière de cybersécurité et le rôle des outils
Les avancées en matière de cybersécurité, telles que la gestion autonome des terminaux, qui allie l'automatisation aux outils de gestion des terminaux, peuvent aider les entreprises à garder le contrôle d'une surface d'attaque en constante expansion. « Il ne suffit pas d’avoir un inventaire », explique M. van den Heuvel, « il vous faut un inventaire de l’ , un inventaire de l’ en constante évolution, qui soit mis à jour en permanence. »
«Vous n’avez pas seulement besoin d’un inventaire, vous avez besoin d’un inventaire dynamique, qui soit mis à jour en permanence. »van den Heuvel
Mais même les meilleurs outils ne peuvent empêcher la plus ancienne des failles qui soit : le comportement humain. Les experts exhortent les entreprises à proposer des formations continues de sensibilisation et d'éducation , mais de nombreuses entreprises ne répondent pas à cette exigence. « Moins de la moitié des entreprises disposent de programmes de formation structurés en matière de cybersécurité », déclare M. Hutse. « Et plus de 90 % des attaques réussies sont dues à une erreur humaine. » « Nous le savons, et pourtant nous continuons à sous-investir dans les ressources humaines. »
Van den Heuvel estime que les exigences de la loi DORA en matière de signalement des incidents pourraient faire évoluer cette mentalité en obligeant les organisations à mettre en pratique la collaboration, et non pas seulement à s’y engager : « Les entreprises doivent disposer d’un processus qui stipule : lorsqu’un incident survient, nous en évaluons l’impact et nous le signalons à l’extérieur. » « Cela permet d’alerter les autres joueurs. » Ce réflexe de coopération, désormais ancré dans la DORA, pourrait bien constituer l'une des répercussions les plus discrètes, mais aussi les plus puissantes, de ce règlement.
Cette prise de conscience doit s'étendre jusqu'au plus haut niveau. Les conseils d'administration commencent à s'y intéresser, non seulement en raison de la réglementation, mais aussi parce que leur propre responsabilité est désormais en jeu. Pourtant, certains dirigeants considèrent la conformité comme une simple liste de contrôle plutôt que comme une approche stratégique de la gestion des risques. « Le véritable objectif ne consiste pas simplement à cocher des cases », explique M. van den Heuvel. « Il s’agit d’assurer la résilience opérationnelle. » « Si un problème survient, dans quel délai êtes-vous en mesure de le détecter, de le maîtriser et de rétablir la situation ? »
Et en combien de temps pouvez-vous en informer les autres ? DORA insiste notamment sur la nécessité de signaler rapidement les incidents aux autorités de régulation, mais aussi aux autres acteurs du secteur. « Si vous êtes touché, les autres acteurs de votre écosystème méritent d'être prévenus », ajoute M. van den Heuvel.
Vers une économie numérique plus sûre
Tout comme dans le domaine du développement durable, où les grandes entreprises ont favorisé l'adoption de pratiques plus respectueuses de l'environnement à tous les niveaux de leurs réseaux, la cybersécurité entre désormais dans une phase où la responsabilité s'étend de plus en plus largement. De nombreuses entreprises n'attendent pas que la loi leur dicte leur conduite. Ils agissent sous la pression du marché, par crainte d'une atteinte à leur réputation et, bien sûr, par bon sens.
«La sécurité parfaite n’existe pas. » Mais les réglementations, les audits et la pression des pairs vous amènent tous à vous poser des questions… « Et réfléchir, c'est déjà la moitié du chemin. »Vael
« De nombreuses entreprises prennent déjà des mesures de leur propre initiative », déclare M. van den Heuvel. « Vous n’avez pas besoin de lois ni de réglementations pour cela. » M. Hutse établit la même comparaison avec le développement durable : de nombreuses entreprises ont commencé à réduire leur empreinte environnementale bien avant que la réglementation ne les y oblige. Selon eux, ce même changement culturel est en train de s'opérer aujourd'hui dans le domaine de la cybersécurité.
« La sécurité parfaite n'existe pas », admet Vael. « Mais les réglementations, les audits et la pression des pairs vous poussent tous à réfléchir . À propos des sauvegardes, de l'intégration des nouveaux collaborateurs, de la formation, des risques liés aux tiers et de la continuité d'activité. « Et réfléchir, c’est déjà la moitié du chemin. »
Dans ce nouveau contexte, il ne s'agit pas seulement de conformité, mais aussi de confiance. Ayez confiance : vos fournisseurs ne vous trahiront pas. Assurez-vous que vos outils sont à jour. Ayez confiance : vos collaborateurs ne brancheront pas d'appareil compromis à la caisse. La cybersécurité commence peut-être au plus haut niveau, mais elle ne s'arrête pas là. Cela se répercute à tous les niveaux, à travers les formulaires, les audits, les contrats et les échanges, jusqu’à ce que même la plus petite entreprise de la chaîne se pose la question suivante : que dois-je protéger, et comment ?
Au final, il faut livrer le fromage. Et dans l'économie numérique, cela signifie que chacun a un rôle à jouer pour garantir la sécurité de la chaîne d'approvisionnement.
