Actualités

La cybersécurité relève désormais de la direction

NIS 2 et la Llei 22/2022 d’Andorre rendent la direction responsable de la cybersécurité. Ce que cela change pour les PME concernées et leurs fournisseurs.

Publié le Par BDR Group12 min de lecture

Les règles européennes et andorranes de cybersécurité placent la responsabilité sur les organes de direction : ils doivent approuver les mesures, superviser leur mise en œuvre et se former. Les PME qui n’y sont pas soumises le ressentent aussi, car les clients assujettis l’exigent de leurs fournisseurs. La cybersécurité doit se décider à la direction, avec l’appui du personnel technique.

Ce que disent les normes sur la direction

La directive (UE) 2022/2555, connue sous le nom de directive SRI 2 (NIS 2), prévoit que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité, supervisent leur mise en œuvre et puissent être tenus responsables si l’entité ne s’y conforme pas (article 20, paragraphe 1). Les membres de ces organes doivent suivre des formations (article 20, paragraphe 2). Les États membres devaient appliquer la directive à partir du 18 octobre 2024 (article 41).

En Andorre, la Llei 22/2022 du 9 juin relative aux mesures de sécurité des réseaux et des systèmes d’information (BOPA n° 76, du 22 juin 2022) suit le même schéma. L’article 17 prévoit que les organes de direction approuvent les mesures, supervisent leur application et répondent de leur non-respect, et que leurs membres doivent se former périodiquement.

En Espagne, la loi qui doit transposer la directive est encore en cours de procédure. Le Conseil des ministres en a approuvé l’avant-projet (anteproyecto) le 14 janvier 2025 et, au 25 octobre 2026, nous ne l’avons pas trouvée publiée au BOE, le journal officiel espagnol. Ce n’est pas une raison d’attendre : le texte européen indique déjà la direction.

Ce qui peut arriver en cas de non-respect

NIS 2 laisse chaque pays décider comment la responsabilité se concrétise, mais elle fixe un minimum. Les entités essentielles s’exposent à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, et les entités importantes à 7 millions ou 1,4 % (article 34). Pour les entités essentielles, si les mesures d’exécution sont inefficaces et que l’entité ne corrige pas les insuffisances dans le délai fixé, l’autorité peut demander que l’on interdise temporairement l’exercice de fonctions dirigeantes au directeur général ou au représentant légal (article 32, paragraphe 5, point b). Dans les entités essentielles, les personnes qui les dirigent, les représentent ou les contrôlent doivent pouvoir être tenues responsables du manquement à leur devoir de veiller au respect des règles (article 32, paragraphe 6).

En Andorre, l’article 36 de la Llei 22/2022 prévoit des amendes de 30 001 à 100 000 euros pour les infractions très graves, de 15 001 à 30 000 pour les infractions graves et, pour les infractions légères, un avertissement ou une amende de 500 à 15 000 euros. L’article 31 attribue la responsabilité des infractions à l’entité, tandis que l’article 17 dit que la direction doit en répondre. La façon dont les deux s’articulent est une question pour un conseiller juridique, mais le message est clair : on ne peut pas déléguer la décision au service technique et s’en désintéresser.

Il faut savoir que le gouvernement andorran a annoncé le 23 juin 2026 que le Conseil des ministres avait approuvé un projet de loi modifiant la Llei 22/2022. Entre autres changements, il étend à toutes les entités l’obligation de notifier les incidents et rend obligatoire un centre d’opérations de sécurité (SOC) pour les entités critiques. Au 25 octobre 2026, nous n’avons pas trouvé le texte modifié publié, et nous nous en tenons donc au texte de 2022 ; il faudra y revenir quand la réforme entrera en vigueur.

Les délais ne laissent pas de temps pour improviser

NIS 2 demande à l’entité concernée d’envoyer une alerte précoce dans les vingt-quatre heures suivant la connaissance d’un incident important, une notification d’incident dans les soixante-douze heures et un rapport final dans un délai d’un mois (article 23, paragraphe 4). La loi andorrane fixe la notification au CSIRT-AD (l’équipe andorrane de réponse aux incidents de sécurité informatique) sans retard et, en tout cas, dans les soixante-douze heures suivant la détection (article 15).

Si l’incident touche des données à caractère personnel, une autre horloge tourne en parallèle : soixante-douze heures pour le notifier à l’autorité de contrôle, selon le RGPD (article 33) en Catalogne et selon la Llei 29/2021 (article 36) en Andorre, où il s’agit de l’Agence andorrane de protection des données (APDA).

Un vendredi après-midi, la messagerie de la comptabilité d’un distributeur de Lleida se met à envoyer de fausses factures aux clients. Si personne n’a décidé à l’avance qui prévient qui et qui parle aux clients, les premières heures se perdent en discussions. C’est pourquoi un plan de gestion des incidents est une décision de direction avant d’être un outil.

Si vous n’êtes pas assujetti, elle vous atteint aussi

NIS 2 s’applique, en général, aux entreprises moyennes et grandes des secteurs de ses annexes (article 2). La loi andorrane s’applique aux entités de ces secteurs qui emploient cinquante personnes ou plus ou dont le chiffre d’affaires ou le bilan dépasse dix millions d’euros (article 2). Un petit commerce, un cabinet ou un atelier n’entre probablement pas directement dans le champ.

Mais la directive demande aux entités assujetties de veiller à la sécurité de la chaîne d’approvisionnement, y compris dans les relations avec leurs fournisseurs directs (article 21, paragraphe 2, point d). En pratique, cela signifie des questionnaires de sécurité, de nouvelles clauses dans les contrats et des questions sur les sauvegardes, les accès et l’authentification multifacteur. L’entreprise de maintenance qui dispose d’un accès à distance aux installations d’un distributeur d’énergie, ou celle de logiciels qui sert un groupe hospitalier, le remarqueront avant la publication de la loi espagnole.

Les entreprises qui travaillent pour l’administration publique espagnole relèvent d’un autre cadre déjà en vigueur : l’Esquema Nacional de Seguridad (ENS, schéma national de sécurité espagnol ; Real Decreto 311/2022) s’applique aux systèmes du secteur privé qui fournissent des services ou des solutions à des entités du secteur public, y compris l’obligation de disposer d’une politique de sécurité (article 2, paragraphe 3).

Budget et gouvernance : comment le mettre en pratique

Parmi les dix mesures minimales énumérées par NIS 2 (article 21, paragraphe 2), la plupart sont organisationnelles : analyse des risques, gestion des incidents, continuité et sauvegardes, chaîne d’approvisionnement, formation, contrôle des accès. Sans quelqu’un pour fixer les priorités, les outils finissent par être des licences que personne ne révise.

Aucune des deux normes ne fixe de pourcentage de budget. NIS 2 demande des mesures proportionnées à la taille, à l’exposition et au coût de l’entité (article 21, paragraphe 1), et la loi andorrane, à la dépendance à l’égard de systèmes critiques et à la disponibilité d’alternatives (article 13, paragraphe 2). Approuver des mesures sans les ressources pour les appliquer n’a pas de sens, et c’est là que la direction a un travail concret. Nous recommandons :

  • Un responsable nommément désigné pour chaque système critique. La loi andorrane demande de désigner un délégué à la sécurité de l’information (Delegat de la Seguretat de la Informació), doté de ressources et d’une communication effective avec la haute direction (article 18).
  • Un point fixe à l’ordre du jour, une fois par trimestre, avec peu d’indicateurs : incidents, vulnérabilités critiques ouvertes, résultat du dernier test de restauration.
  • Un registre écrit des décisions : ce qui est approuvé, ce qui est reporté et quel risque est accepté, avec date et signature.
  • Un montant annuel réservé à la sécurité, qui ne dépende pas de la survenue d’un incident.

La directive elle-même admet que les mesures soient proportionnées : il ne s’agit pas de monter la structure d’une banque, mais d’avoir clairement en tête le minimum.

Formation de la direction

L’article 20, paragraphe 2, de NIS 2 et l’article 17, paragraphe 2, de la Llei 22/2022 convergent sur l’objectif : que les membres de la direction aient des connaissances et des compétences suffisantes pour comprendre et évaluer les risques et les pratiques de gestion, ainsi que leur impact sur les activités de l’entité. La formation ne doit pas se limiter à l’équipe technique.

Il n’est pas nécessaire de suivre un long cours. Une session annuelle de quelques heures, avec un exercice de simulation d’incident (que faisons-nous si, demain, nous ne pouvons ouvrir aucun fichier), couvre ce que demande la norme et rend clair qui décide. C’est notre recommandation ; aucune des deux normes ne fixe de durée ni de format.

Que demander au responsable informatique

Six questions que la direction devrait pouvoir poser, et dont elle devrait obtenir la réponse par écrit :

  1. Quels cinq systèmes arrêteraient l’entreprise s’ils tombaient en panne, et qui est responsable de chacun ?
  2. Quand la dernière restauration de sauvegardes a-t-elle été testée, et combien de temps a-t-elle pris ?
  3. Qui dispose d’un accès administrateur et quand a-t-il été révisé pour la dernière fois ?
  4. Où avons-nous l’authentification multifacteur et où ne l’avons-nous pas ?
  5. Quelles vulnérabilités critiques sont ouvertes et depuis quand ?
  6. Quels fournisseurs ont accès à nos systèmes ou à nos données, et que disent les contrats sur la sécurité et les incidents ?

Si la réponse est "je ne sais pas", y consacrer des ressources ou accepter le risque par écrit est déjà une décision de direction.

Ce que nous faisons

Nous déclarons notre intérêt : chez BDR Group, nous travaillons la cybersécurité par l’intermédiaire de TutumSec, notre branche spécialisée, avec du conseil vCISO (RSSI virtuel), des audits, des tests d’intrusion, la réponse aux incidents et un bureau technique qui soutient la conformité à NIS 2. Si vous souhaitez une première orientation, TutumSec propose un diagnostic gratuit fondé sur ce qui peut être observé de votre domaine sur internet et sur un court questionnaire. Il ne remplace pas un audit, mais il aide à savoir par où commencer.

Que faire maintenant

  1. Déterminez quel cadre vous concerne (NIS 2 ou la future loi espagnole, la Llei 22/2022, l’ENS ou seulement la protection des données) et si un client vous y entraîne comme fournisseur.
  2. Dressez la liste des systèmes critiques, avec un responsable pour chacun.
  3. Rédigez un plan d’incidents d’une page : qui décide, qui est prévenu (le CSIRT-AD en Andorre, la ligne 017 de l’INCIBE en Espagne, l’autorité de protection des données) et dans quels délais.
  4. Activez l’authentification multifacteur sur les accès externes et vérifiez une restauration de sauvegarde.
  5. Programmez une formation annuelle pour la direction, pas seulement pour l’équipe.

Questions fréquentes

Ma PME doit-elle se conformer à NIS 2 ?

Cela dépend du secteur et de la taille. En général, la directive concerne les entreprises moyennes et grandes des secteurs de ses annexes, avec quelques cas qui y entrent quelle que soit leur taille. Si vous travaillez pour une entité assujettie, vous le ressentirez de toute façon.

Si la loi espagnole n’est pas encore approuvée, puis-je attendre ?

Nous ne le recommandons pas. Les exigences arrivent déjà par contrat de la part des clients assujettis, et les mesures de base sont utiles avec ou sans loi.

Une entreprise andorrane doit-elle suivre NIS 2 ?

La directive s’adresse aux États de l’UE et ne s’applique pas directement à l’Andorre, qui a sa propre Llei 22/2022. Une entreprise andorrane peut être concernée si elle est fournisseur d’entités assujetties de l’UE, et certains fournisseurs numériques qui offrent des services dans l’Union sans y être établis doivent y désigner un représentant (article 26, paragraphe 3).

Qui appeler en cas d’incident ?

En Andorre, le CSIRT-AD est l’équipe de référence établie par la Llei 22/2022. En Espagne, l’INCIBE (l’institut national espagnol de cybersécurité) propose la ligne d’aide gratuite 017, tous les jours de 8 h à 23 h. Si des données à caractère personnel sont concernées, il faut aussi envisager une notification à l’APDA ou à l’AEPD (l’Agence espagnole de protection des données).

Sources

Parlons de la sécurité de votre entreprise

Si vous voulez savoir par où commencer et ce que votre cadre vous impose, consultez la fiche du service : Cybersécurité pour les entreprises avec TutumSec

Retour aux actualités

Actualités

Articles liés