Droit du numérique : quels changements pour 2023 ?

I – Les nouvelles règles cyber de la directive Network and Information Security 2

Le 14 décembre dernier, l’Union européenne a définitivement adopté la directive Network and Information Security 2 ou NIS22. Elle entrera en vigueur avant la fin du mois de janvier 2023, les États membres devant alors transposer ses dispositions avant le 17 octobre 20243.

En France néanmoins, les premières mesures de transposition devraient apparaître dès 2023.

NIS2 succède à NIS1 qui a été transposée dans notre ordre juridique interne en 20184 et fait naître les premières règles de cybersécurité élaborées avec le concours de l’agence nationale de la sécurité des systèmes d’information (ANSSI).

Ces règles ont donné lieu à l’identification d’« opérateurs de services essentiels » (OSE), de « fournisseurs de services numériques » (FSN), et d’« opérateurs d’importance vitale » (OIV), désignés en fonction d’une liste de services essentiels au fonctionnement de la société ou de l’économie5 dans les domaines suivants : l’énergie, les transports, les banques et institutions financières, la santé, les réseaux d’eau et le traitement des eaux non potables, les infrastructures numériques, les assurances, les organismes sociaux et organismes de gestion de l’emploi et de la formation professionnelle, les opérateurs chargés du parcours éducatif national et de l’organisation d’examens nationaux, ainsi que la restauration collective destinée aux secteurs de la santé.

Aujourd’hui, seuls les OSE, les FSN et les OIV sont régis par ces règles et tenus notamment de déclarer à l’ANSSI, « dès qu’ils en ont connaissance »6, les incidents affectant leurs réseaux et systèmes d’information utilisés pour la fourniture de leurs services essentiels lorsqu’ils ont (ou sont susceptibles d’avoir) un impact significatif sur la continuité de ces mêmes services7.

Jusqu’à présent donc, PME et ETI, à moins qu’elles n’aient été qualifiées d’OSE, de FSN ou d’OIV, ne sont soumises à aucune règle en la matière, excepté à celles qui seraient liées à la mise en œuvre du règlement général sur la protection des données (RGPD)8. Elles sont pourtant la cible privilégiée, et de façon accélérée depuis plusieurs mois, de cyberattaques qui peuvent désormais concerner, outre les données personnelles (des clients, des salariés, des fournisseurs ou des prestataires), des données économiques, des données techniques (de fabrication ou de production, d’informations liées aux chaînes d’approvisionnement…) et des brevets.

Face à ce constat et à la multiplication des incidents mentionnés plus tôt, NIS2 veut s’imposer, non plus comme une seule mesure de sécurité informatique, mais aussi et avant tout comme une mesure de sécurité économique.

Ainsi, en rentrant dans le champ d’application de la nouvelle directive, les entreprises désormais concernées seront contraintes de communiquer sur le fait qu’elles ont été attaquées mais, surtout, seront nécessairement amenées à se questionner sur leur niveau de cybersécurité, ainsi qu’à créer des appels de moyens pour se conformer à la loi.

En effet, en France et dans tous les pays de l’Union européenne, NIS2 aura pour premier effet de gonfler le nombre d’entités – publiques, certes – mais surtout privées concernées par les mesures cyber qu’elle dessine et qui seront précisées dans les ordres juridiques nationaux. En France, de nouveaux secteurs s’ajouteront désormais au champ d’application des règles européennes (en sus de ceux que nous avons déjà énoncés) : l’administration publique, le secteur spatial, les réseaux de gestion des déchets, les services postaux, les services de transformation et de distribution des denrées alimentaires ou encore les fabricants de produits chimiques et pharmaceutiques.

Oubliés les OSE et autres FSN et OIV, NIS2 met en place une nouvelle nomenclature.

Seront désormais concernées, pour les secteurs indiqués, les entités publiques et privées dites « essentielles » et « importantes » 9 désignées comme telles en fonction de leur niveau de criticité et de l’impact que leur dysfonctionnement pourrait avoir.

Notons qu’en principe les dispositions de la directive ne devraient pas s’appliquer aux microentreprises et aux petites entreprises au sens où les définit la Commission européenne10.

Pour autant, certaines entreprises devront être soumises aux mesures et ce, quelle que soit leur taille : principalement, les réseaux de communication électroniques publics ou accessibles au public, les registres des noms de domaines (DNS) et leurs prestataires de services, les administrations publiques. L’autorité nationale compétente (en France, l’ANSSI) pourrait également désigner des structures pour lesquelles l’interruption du service est susceptible d’avoir une incidence sur la sécurité, la sûreté ou la santé publiques ; ou encore d’induire des risques systémiques et une incidence transfrontalière. Auquel cas, la taille de la structure désignée ne sera plus un critère excluant pour l’application des règles de cybersécurité.

Conformément à la nouvelle directive, les législations nationales devront prévoir que les entités « essentielles » et « importantes » désormais concernées prennent des mesures techniques et organisationnelles appropriées pour gérer les risques liés à la sécurité de leurs réseaux et de leurs systèmes d’information11. Ces mesures devront couvrir, au minimum, les aspects liés à l’analyse et à l’évaluation des risques encourus, à la gestion des incidents cyber, à la continuité des activités et à la gestion des crises en cas d’attaque, à l’utilisation du cryptage et de la cryptographie ou d’autres solutions de contrôle des accès et, enfin, à la sécurité de la chaîne d’approvisionnement (incluant donc notamment la question des fournisseurs, des sous-traitants et des prestataires de services).

Ce dernier point est intéressant, il n’avait pas été traité par NIS1 alors même que les sous-traitants représentent souvent le maillon le plus faible de la chaîne de sécurité mise en place dans l’entreprise (ou l’entité) concernée.

Pour les administrations publiques et les entreprises de taille moyenne principalement, ces nouvelles obligations à paraître pourraient être perçues comme autant de contraintes lourdes et coûteuses à déployer, techniquement, et financièrement. Faute de personnel qualifié et dédié en matière de sécurité informatique et de sécurité des réseaux, elles pourraient devoir faire appel à des prestataires, revoir leurs procédures internes et externes (incluant celles mises en place avec les fournisseurs, les sous-traitants, les clients…) ou encore passer par l’achat de matériel ou de logiciels.

Pour certains observateurs, cet état de fait pourrait être de nature à créer de nouvelles disparités entre les grandes entités, celles qui ont les moyens de mettre en place de nouvelles contraintes, et celles de taille plus modeste, qui ont déjà été récemment confrontées aux difficultés de mise en conformité avec les règles du RGPD.

Néanmoins, la cybermenace expose désormais toutes les structures, y compris celles de tailles plus modestes.

Si, à première vue, la mise en conformité peut donc apparaître comme un coût d’investissement supplémentaire, le bénéfice tiré de l’amortissement des conséquences de l’attaque et de la vitesse de réponse pourrait être bien plus rentable.

Par ailleurs, et sans trop entrer dans les détails, l’intégration de certaines règles de « base » pourrait permettre à ces dernières d’entamer une mise en conformité avec les règles cyber : l’établissement d’une cartographie exhaustive des systèmes d’information et des flux réseaux, d’une liste complète des actifs matériels (serveurs, PC…), des actifs immatériels (logiciels de base, logiciels métiers…) et des comptes utilisateurs ; puis la segmentation des flux et des réseaux.

Notons que tout comme l’a fait le RGPD, NIS2 place les organes de direction des entités concernées au centre des décisions en matière de cybersécurité. Ils devront avoir nécessairement approuvé de telles mesures avant qu’elles ne puissent être déployées12.

Mais en contrepartie, ils pourront être tenus pour responsables en cas de défaut et d’absence de dispositions suffisantes, la directive incluant, à ce titre13, la responsabilité des personnes physiques exerçant des responsabilités dirigeantes dans l’entité, ou capable de la représenter.

En outre, NIS2 renforce les obligations des entités essentielles et importantes en matière de communication. Désormais, tout incident « ayant une incidence significative sur la fourniture de leurs services » ou « toute cybermenace importante qui aurait pu entraîner un incident significatif » doit être communiqué. Sauf exception, la directive pose ainsi le principe selon lequel les entités seront soumises à un délai de 24 heures pour émettre une première alerte auprès de l’autorité compétente (l’ANSSI pour la France), et lui indiquer si cette intrusion « a été causée par une action illicite ou malveillante ou pourrait avoir un impact transfrontalier »14.

Pour s’assurer de l’exécution des nouvelles règles cyber, les autorités nationales compétentes disposeront de nouveaux leviers de surveillance et de mise à exécution, voire, de sanction : inspections, surveillance distanciée, audits réguliers ou ciblés, scans de sécurité, demande(s) d’accès à des données ou à des documents.

Sur le volet des sanctions, l’ANSSI se verrait également octroyer de nouveaux moyens, telles que la possibilité d’émettre des instructions contraignantes, d’opérer des déclarations publiques pour désigner les responsables des violations des règles cyber, d’imposer une amende administrative15, voire, de nommer dans l’entité désignée, pour une période déterminée, un responsable du contrôle ayant des tâches définies pour superviser le respect des obligations en la matière.

Tous ces aspects soulèveront certainement des questions liées à la frontière entre sûreté et sécurité publiques d’un côté, respect de la vie privée de la personne morale16 et liberté d’exercer librement une activité économique17, de l’autre.

En conclusion, certaines des nouvelles mesures imposées par la directive NIS2, directement aux États membres ou indirectement à leurs entités essentielles et importantes, sont ambitieuses.

Elles traduisent, malgré l’outil d’harmonisation minimale que représente la directive, la volonté d’avancer vers un système plus efficace d’anticipation et de gestion du risque et de la menace cyber pour préserver les économies européennes.

Pour certaines entreprises, bien qu’a priori coûteux et technique, le déploiement de mesures propres à gérer les risques liés à la sécurité des réseaux et des systèmes d’information sur toute la chaîne d’approvisionnement (intégrant fournisseurs, prestataires et sous-traitants) pourrait manifester un gain d’efficacité et, à terme, la réduction des coûts supplémentaires générés par les incidents de cybersécurité. Si les données économiques liées aux conséquences des cyberattaques sont encore compliquées à obtenir, l’on peut tout de même croire que sur le long terme, et dans un contexte de plus en plus insécuritaire, les bénéfices de telles mesures pourraient l’emporter sur les coûts d’investissement nécessaires au départ.

Néanmoins, plusieurs questions demeurent irrésolues dans la pratique et certaines frontières devront être clairement délimitées. Dotée de nouveaux pouvoirs et de moyens pour les appliquer à l’échelle nationale, l’ANSSI ne devrait pas avoir à agir comme une police répressive à l’encontre des entreprises, de plus en plus guidées et ralenties par des contraintes législatives et réglementaires, plutôt que par leur initiative propre à assurer leur sécurité. Des différends liés à l’articulation entre ces nouvelles prérogatives et la liberté d’entreprendre et d’exercer librement une activité économique pourraient se manifester une fois la directive transposée.

Il est utile à cet égard de se demander quelle(s) voie(s) de recours ces entités seront autorisées à actionner en cas de désaccord, alors que l’on sait que le décret de 2018 pris en application de NIS1 imposait à tout opérateur de services essentiels de former un recours administratif préalable (Rapo) auprès du Premier ministre avant de pouvoir former un recours contentieux recevable.

II – La certification RGPD : le nouveau « faire-valoir » des acteurs économiques ?

Plus de quatre années après l’entrée en application dans l’Union européenne du règlement général sur la protection des données18, le comité européen de protection des données19 a approuvé, le 10 octobre dernier20, le premier référentiel de certification RGPD.

Le RGPD lui-même prévoyait le déploiement d’un tel mécanisme, son article 42 intitulé « Certification », disposant à cet égard :

« Les États membres, les autorités de contrôle, le comité et la Commission encouragent, en particulier au niveau de l’Union, la mise en place de mécanismes de certification en matière de protection des données ainsi que de labels et de marques en la matière, aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent le présent règlement. Les besoins spécifiques des micro, petites et moyennes entreprises sont pris en considération (…).

La certification est volontaire et accessible via un processus transparent ».

Le mécanisme de certification ainsi autorisé, appelé Europrivacy21 du nom de l’autorité luxembourgeoise qui en détient la paternité22 constitue, à ce jour, le seul référentiel permettant à une organisation de faire reconnaître un niveau de conformité opposable au sens du RGPD et répondant aux exigences de son article 42.

D’après ce que l’on sait déjà, la certification Europrivacy pourrait être utilisée pour de nombreuses catégories d’activités de traitement des données et être adaptée en fonction du secteur et des technologies utilisées23.

En outre, Europrivacy peut être étendue aux obligations nationales spécifiques et s’adapter aux technologies émergentes (telles que l’intelligence artificielle, la blockchain…).

Ainsi, dans chaque pays européen, l’autorité nationale de protection des données (en France, la CNIL)24, accréditera des cabinets autorisés à auditer et à délivrer – ou refuser – la certification.

Pour beaucoup d’entreprises, cette certification représente l’opportunité de faire vérifier, par un tiers indépendant, leur conformité au RGPD et donc, d’atténuer les risques juridiques et financiers.

Pour rappel et à ce titre, dans le pire des cas, une entreprise dont le manquement au RGPD serait constaté peut se voir infliger une sanction pécuniaire pouvant être portée jusqu’à 4 % de son chiffre d’affaires annuel mondial25.

La certification exclurait ainsi toute contestation de non-conformité avec les règles et donc toute sanction. Mais, au-delà de ces aspects, l’avantage réputationnel s’impose également comme un argument convaincant pour les entreprises, dès lors qu’une telle certification serait de nature à démontrer publiquement la conformité au règlement et aux règles nationales spécifiques de traitement et de protection des données personnelles. En outre, l’outil pourrait s’imposer comme un critère supplémentaire pour la sélection de nouveaux partenaires commerciaux, de fournisseurs ou de sous-traitants, ou encore constituer un critère supplémentaire pour l’attribution d’offres ou de commandes publiques.

A contrario, certaines voix s’élèvent contre ce type de mécanisme, considérant qu’il serait de nature à privilégier une nouvelle fois parmi les plus grandes des entreprises et à isoler celles de taille plus « modeste ». Seules les premières seraient ainsi capables de financer un accompagnement vers la certification, ainsi que l’ensemble des coûts liés à son obtention, incluant, outre les frais d’accompagnement du prestataire accrédité : des frais de publication, d’éventuels frais d’achat de logiciel(s), ou de formation du DPO. A contrario, de plus petites entreprises, faute de moyens, pourraient être exclues de ce schéma, et exclues de certains marchés si, dans l’avenir, la certification RGPD devenait l’usage.