Votre stratégie de cybersécurité OT inclut-elle des mises à jour logicielles et matérielles régulières ? Sinon, vous risquez une amende de EUR 10000000,00 ou 2 % du chiffre d'affaires annuel mondial1.
Pourquoi ? C'est simple. D'ici octobre 2024, tous les États membres de l'UE doivent avoir transposé la directive révisée de l'UE sur la sécurité des réseaux et de l'information (NIS2) en droit. Et la nouvelle directive prévoit des amendes de EUR 10000000,00 ou de 2 % du chiffre d'affaires annuel mondial pour les organisations qui enfreignent ses règles. L'une de ces règles stipule clairement que les organisations soumises à la directive doivent avoir des politiques de cybersécurité qui incluent :
« …politiques de cyberhygiène comprenant un ensemble de pratiques de base communes, notamment des mises à jour logicielles et matérielles… »
Un nombre d'organisations plus important que jamais est désormais couvert par la directive mise à jour. Cela inclut des secteurs entièrement nouveaux tels que les télécommunications, la chimie, les eaux usées et l'alimentation — tous considérés comme « essentiels » ou « importants » pour la sécurité et la vie économique de l'UE. L'article 7 de NIS2 renforce encore le fait qu'un nombre d'organisations plus important que jamais sera impacté par la nouvelle directive :
« La stratégie nationale de cybersécurité doit inclure le renforcement de la résilience cybernétique et du socle de cyberhygiène des petites et moyennes entreprises, en particulier celles exclues du champ d'application de la présente directive… »
En résumé : presque toutes les organisations qui exploitent des technologies opérationnelles dans l'UE doivent commencer à réfléchir dès maintenant à la préparation à NIS2, sous peine de subir les conséquences d'une violation.
Pourquoi les mises à jour logicielles représentent-elles un risque au regard de NIS2 ?
Les organisations de technologies opérationnelles (OT), qu'il s'agisse de fabricants ou de fournisseurs d'infrastructures, ont souvent des centaines, voire des milliers d'appareils sur site. Un rapport récent de McKinsey estime que certaines installations énergétiques comptent jusqu'à 30000 appareils connectés2.
Nombre de ces appareils peuvent également contenir des composants intelligents et connectés, notamment des variateurs de fréquence, des commutateurs industriels, des automates programmables, des PC industriels, etc. Tous ces composants peuvent également avoir leur propre logiciel et matériel.
Même les installations plus petites, y compris celles avec des environnements de production relativement petits, peuvent avoir des centaines d'appareils OT, non cartographiés et non gérés. Et si ne serait-ce qu'un de ces appareils utilise un logiciel obsolète et que cela conduit à une violation de données, à une panne opérationnelle ou à un autre problème important, il s'agit d'une violation potentielle de NIS2, et d'une amende consécutive.
