RéCyF et NIS 2 : anticiper la gestion de crise cyber avant la loi

La directive européenne NIS 2 a été adoptée en novembre 2022. Sa transposition en droit français, elle, se fait attendre. Dans l'intervalle, l'ANSSI a publié le Référentiel Cyber Français, qui traduit l'esprit de la directive en exigences opérationnelles. La future loi française devrait s'en inspirer largement.

Une précision s'impose : le RéCyF est un référentiel indicatif, publié pour aider les entités à préparer leur mise en conformité. Ses exigences ne sont pas juridiquement contraignantes à ce jour. Elles restent néanmoins le meilleur indicateur disponible de ce que le législateur retiendra.

Depuis l'adoption de NIS 2 au niveau européen, plusieurs milliers d'entités françaises réparties dans 18 secteurs critiques attendent de connaître le détail de leurs futures obligations. La France a pris du retard par rapport à d'autres États membres, mais la direction générale ne fait guère de doute.

En publiant le RéCyF, l'ANSSI indique les standards qu'elle recommande et sur lesquels la loi s'appuiera vraisemblablement. Le référentiel compte 20 objectifs de sécurité qui couvrent l'ensemble du cycle de vie de la cybersécurité, de la gouvernance à la continuité d'activité en passant par la gestion des accès, la surveillance et la réponse aux incidents.

L'objectif 14, consacré à la réaction aux crises d'origine cyber, mérite qu'on s'y arrête. Ses recommandations sont précises, différenciées selon le type d'entité (EI ou EE), et applicables sans attendre.

Voici l'intégralité des recommandations de l'objectif 14, telles que publiées par l'ANSSI, avec leur applicabilité aux entités importantes (EI) et/ou essentielles (EE).

Derrière leur formulation administrative, ces dix recommandations reposent sur une même idée : l'entité doit pouvoir réagir alors même que son infrastructure numérique est compromise. C'est le scénario type d'une cyberattaque grave, et c'est aussi celui pour lequel la plupart des plans de crise sont les moins bien préparés.

Prenez les recommandations 14.2 et 14.3, qui insistent sur une liste imprimée des contacts de crise. L'idée peut sembler datée, elle ne l'est pas : si votre Active Directory est chiffré par un ransomware, qui appelez-vous, et avec quel annuaire ? Le RéCyF prend ce scénario au sérieux.

La 14.4 élargit le cercle aux parties prenantes externes. Prestataires IT, hébergeurs, CERT, ANSSI : ces contacts doivent être identifiés avant la crise. Chercher le numéro de son hébergeur pendant l'incident fait perdre des heures qu'on n'a pas.

La 14.6, applicable aux entités essentielles, demande des critères d'activation documentés. Beaucoup d'organisations basculent en mode crise trop tard, quelques-unes trop tôt. Un seuil formalisé à l'avance évite d'improviser cette décision au pire moment.

La 14.9 sort du champ purement technique en préconisant une stratégie de communication complète : scénarios, organisation, outils de pilotage et éléments de langage prêts à l'emploi pour les médias, les clients et les partenaires.

Une cyberattaque sérieuse commence souvent par neutraliser les outils de communication internes. E-mail, Teams, Slack, téléphonie sur IP : tout ce qui repose sur votre infrastructure peut tomber en même temps qu'elle. La recommandation 14.10 préconise donc des moyens de communication de secours indépendants du SI.

Ce point conditionne tous les autres. Une procédure de crise parfaitement documentée ne sert à rien si personne ne peut être joint pour l'appliquer. Qu'une loi finisse par l'imposer ou non, ce canal de secours est ce qui permet au reste du dispositif de fonctionner le jour J.

La transposition française de NIS 2 n'est pas finalisée, c'est entendu. Trois arguments plaident pourtant pour une mise en conformité anticipée.

D'abord, les délais de mise en place sont réels. Documenter des procédures, tester des dispositifs de crise, former les équipes et contractualiser des outils tiers prend du temps, généralement plus qu'on ne le prévoit.

Ensuite, le RéCyF est aujourd'hui le référentiel le plus fiable sur le sujet. Publié par l'ANSSI en co-construction avec l'écosystème, il reflète l'état de l'art des pratiques attendues et devrait constituer le socle de la future loi.

Enfin, les attaquants ne consultent pas le calendrier parlementaire. Les incidents touchant des entités critiques, hôpitaux, collectivités ou opérateurs d'importance vitale, se multiplient. La préparation opérationnelle s'impose quel que soit l'état du droit.