Adoptée en 2016 par l’Union Européenne, la directive sur la sécurité des réseaux et des systèmes d’information, connue sous l’appellation « directive NIS 1 », visait à augmenter le niveau de cybersécurité des opérateurs de services essentiels (OES) et des fournisseurs de service numérique (DSP). Les Infrastructures des marchés bancaires et financiers (parfois appelés cyber banques) font partie de ces OES.
1. Les nouvelles obligations des établissements bancaires en matière de cybersécurité
Avec ce premier dispositif, les établissements bancaires étaient tenus de déclarer leurs incidents de sécurité à l’ANSSI et de mettre en place les mesures de sécurité nécessaires pour réduire significativement l’exposition de leurs systèmes les plus critiques aux risques cybernétiques.
Le 10 novembre 2022, les députés européens ont voté pour la directive NIS 2 (Network and Information Security) qui a pour objectif d’augmenter le niveau de cybersécurité des entités essentielles et importantes, catégories qui remplacent les OES et les DSP.
A. Contexte de la cybercriminalité croissante
Depuis l’interconnexion de ses pays membres, le marché européen est devenu plus exposé à de nouvelles cybermenaces. La directive NIS 2 élargit donc son champ d’application et ses objectifs afin d’apporter plus de protections aux entreprises et organismes européens. L’un de ces objectifs est d’améliorer la coopération des pays membres face à cette menace commune.
Les statistiques témoignent de la croissance soutenue de la cybercriminalité mondiale. Les chiffres communiqués par le Conseil Européen sont impressionnants :
Selon les estimations, le coût annuel de la cybercriminalité pour l’économie mondiale a atteint 5 500 milliards d’euros à la fin de 2020, soit le double du chiffre de 2015.
Source : https://www.consilium.europa.eu/fr/infographics/cyber-threats-eu/
B. Importance des réglementations cyber pour les établissements financiers
Plusieurs raisons expliquent l’importance de ces nouvelles règlementations cyber pour les établissements financiers. Tout d’abord, elles aident à protéger les données sensibles des clients et à prévenir les violations de données. Ces établissements sont maintenant contraints à prendre des mesures efficaces pour se protéger des différents types de cyberattaques.
Cet investissement dans la protection de leurs outils informatiques va améliorer la confiance des clients dans les institutions financières. Cela aura également comme conséquence de réduire les coûts prohibitifs liés aux violations de données et aux cyberattaques.
Ces mesures prennent d’autant plus d’importance que les usagers sont de plus en plus nombreux à consulter leurs services bancaires depuis une application mobile ou via leur ordinateur personnel. Ce phénomène a commencé lors de la crise sanitaire de la COVID-19 et n’a cessé de s’amplifier depuis lors.
2. Les principales réglementations cyber pour les institutions financières
A. Aperçu des réglementations existantes
Le Digital Operational Resilience Act (DORA)
Le règlement sur la résilience opérationnelle numérique des services financiers (règlement DORA), a été adopté en novembre 2022 dans sa dernière version par le Conseil de l’Union européenne. Il est entré en vigueur sur toute l’Europe le 16 janvier 2023 et s’applique depuis le 17 janvier 2025.
Les principaux objectifs du règlement DORA concernent la protection des données, ainsi que la capacité à ne pas subir d’interruption de service en cas de cyberattaque ou de dysfonctionnement. Cette capacité est nommée « cyber-résilience ».
Le règlement DORA introduit le contrôle des régulateurs non seulement au sein des organismes financiers, mais aussi chez leurs prestataires extérieurs, tenus de respecter les nouvelles normes de cybersécurité.
La directive NIS 1
La Directive NIS 1 ne concernait pas les DSP considérés comme des petites entreprises (employant moins de 50 personnes dont le CA annuel ou dont le bilan total est inférieur à 10 M€). Cette directive restait assez générale dans les dispositions de cybersécurité que devaient prendre les organismes concernés.
Le nombre d’entités concernées par la directive NIS 1 était assez limité, puisqu’elle ne concernait que les opérateurs de services essentiels et les fournisseurs de services numériques. La directive NIS 2 concerne dix fois plus d’organismes, classifiés en entités essentielles (EE) et entités importantes (EI) en fonction de leur secteur et de leur taille. Le secteur ne suffit pas : dans les secteurs hautement critiques, les grandes entités sont en principe essentielles et les moyennes entités importantes ; dans les autres secteurs critiques, les entités concernées sont importantes. Certaines entités sont essentielles quelle que soit leur taille.
Secteurs hautement critiques (annexe I)
- Énergie
- Transport
- Banque
- Infrastructures des marchés financiers
- Santé
- Eau potable
- Eaux usées
- Infrastructures numériques (fournisseurs d’accès à internet, data centers…)
- Administrations publiques
- Secteur de l’espace
Autres secteurs critiques (annexe II)
- Gestion des déchets
- Services postaux
- Industrie chimique
- Fournisseurs de services numériques (moteurs de recherche, marketplaces…)
Le régime de sanctions et les exigences en matière de rapports étaient aussi moins élevés que pour la nouvelle directive NIS 2 qui se rapproche plus du régime de sanctions du RGPD, fixé au pourcentage sur le chiffre d’affaires de l’organisme concerné (voir plus bas dans cet article).
B. Évolution des réglementations suite aux récentes cyberattaques
Depuis 2022, de nombreux conseils départementaux, des organismes de santé, mais aussi des organismes financiers européens figurent parmi les victimes des cyberpirates. À chaque fois des services publics sont mis à l’arrêt pendant des jours et doivent se remettre à tout saisir sur papier en attendant que leur service informatique redevienne opérationnel.
La directive NIS 2 va imposer des obligations de cybersécurité encore plus strictes pour les infrastructures critiques telles que les banques et les organismes financiers. Les autorités nationales sont appelées à exercer une surveillance et une application plus strictes.
Cette nouvelle directive uniformise les sanctions appliquées et les obligations en matière de remontées d’information dans tous les États de l’Union Européenne.
3. Les nouvelles obligations imposées aux établissements financiers
A. Renforcement des mesures de protection des données
En plus des mesures de base comprenant les obligations déclaratives, la directive NIS 2 astreint les entités concernées à adresser une alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident important ; la notification des incidents évités reste volontaire.
Un centre de compétences en cybersécurité et un réseau de centres de coordination ont été mis sur pied, pour appuyer les organismes financiers et bancaires dans leurs politiques de cybersécurité. En France, ce centre de compétences est dévolu au Centre de Cyberdéfense de l’ANSSI, installé Quai de Grenelle, à Paris.
Les autorités de contrôle nationales pourront effectuer dans leurs pays respectifs des audits réguliers, ou des contrôles sur site et hors site, et formuler des demandes d’accès à des documents ou à des preuves.
Le réseau de coordination CyCLONe (Cyber Crisis Liaison Organisation Network) a ainsi été créé pour fédérer la préparation et la gestion des crises cyber par les États membres.
Les États membres devaient transposer la directive au plus tard le 17 octobre 2024. La France n’a pas tenu cette échéance : sa loi de transposition n’est toujours pas promulguée.
B. Mise en place de mécanismes de détection précoce des cyberattaques
L’utilisation de l’IA comme outil d’apprentissage automatique et d’analyse prédictive va permettre de détecter plus rapidement les attaques informatiques. Elle permettra d’automatiser certaines tâches pour améliorer l’efficacité de la sécurité en ligne. Cela peut être par exemple dans la protection contre les logiciels malveillants, en analysant les fichiers et les activités en temps réel pour détecter les menaces potentielles.
C. Renforcement des capacités de réponse et de récupération après une attaque
La résilience des organismes bancaires au risque cyber est extrêmement importante en raison des enjeux financiers et des risques de perte de valeurs monétaires. Il est donc primordial de prévoir un Plan de Sécurité qui prenne en compte les conséquences d’une attaque informatique et les moyens de réagir.
Les outils de cybersécurité utilisés doivent permettre aux équipes concernées de prendre des mesures immédiates pour contenir les incidents et limiter les dommages.
Make IT Safe gère les Plans d’Assurance Sécurité (PAS) de vos fournisseurs : les engagements de sécurité qu’ils prennent pour votre compte et vos échanges avec eux sont centralisés, ce qui permet de réagir plus vite lorsqu’un incident touche l’un d’eux.
4. Les conséquences de la non-conformité aux réglementations cyber
Les organismes qui ne respecteraient pas les textes européens tels que la directive NIS 2 ou le règlement DORA s’exposent à des amendes et à des pénalités financières importantes, sans oublier les risques sur leur réputation auprès de leur clientèle.
Risques financiers et réputationnels pour les établissements financiers
Le mécanisme de sanction financière choisi par la directive NIS 2, semblable à celui du RGPD, pourra se baser sur un montant fixe ou sur un pourcentage du chiffre d’affaires mondial de l’entité concernée, selon la gravité de l’infraction constatée.
Pour les entités essentielles (EE) : jusqu’à 10 millions d’euros, ou 2% du CA mondial total.
Pour les entités importantes (EI) : l’amende pourra s’élever à 7 millions d’euros, ou 1,4% du CA mondial total.
Les cyberattaques étant particulièrement prisées par les médias, les conséquences d’une attaque sur un organisme financier peuvent affecter fortement sa réputation auprès de ses clients ou de ses fournisseurs, surtout si une cyber-négligence est constatée.
Il est important de rappeler que la directive NIS 2 amène une notion de responsabilité de la direction en matière de gestion du risque. Cela impose aux dirigeants des organismes concernés de veiller à la mise en conformité de leur politique de cybersécurité, sans attendre la loi française de transposition, dont l’échéance du 17 octobre 2024 n’a pas été tenue.
5. Les bonnes pratiques pour se conformer aux nouvelles réglementations
Make IT Safe accompagne la mise en conformité avec ces nouvelles réglementations sur trois volets principaux :
A. Évaluation régulière des risques et mise à jour des mesures de sécurité
Notre plateforme Make IT Safe vous permet d’effectuer des audits réguliers de toute votre structure informatique. Cette vérification récurrente comporte un dépôt de preuves et de pièces justificatives vous permettant de prouver si nécessaire aux autorités compétentes que vous avez bien pris toutes les mesures correctives nécessaires au respect de la directive NIS 2.
B. Formation et sensibilisation du personnel
La cybersécurité passe également par la montée en compétences du personnel soumis à des risques d’attaque, en particulier celles de type « ingénierie sociale » basées justement sur le manque de sensibilisation au sein des organismes financiers.
Make IT Safe publie régulièrement des webinars auxquels vos collaborateurs peuvent assister pour se tenir informés. Nous proposons également des formations sur-mesure adaptées à la structure de votre organisme et aux compétences de vos collaborateurs.
C. Collaboration avec les organismes de réglementation et les partenaires externes
L’échange d’informations fait partie de toute bonne politique de sécurité. En effet, en cas d’incident avéré ou d’attaque, il vous faut non seulement réagir pour sauvegarder les intérêts de votre organisme, mais également prévenir les organismes de règlementation concernés. En France, vous devez ainsi contacter l’ANSSI qui propose différents formulaires pour déclarer une vulnérabilité ou pour déclarer un incident.
Si vous êtes RSSI, DPO ou si vous occupez tout autre poste nécessitant une veille en matière de cybersécurité, nous vous recommandons de vous informer régulièrement sur les alertes émises par le Centre Gouvernemental de Veille, d’Alerte et de Réponse aux Attaques Informatiques (CERT).
Notre plateforme Make IT Safe vous propose également d’effectuer une analyse de tiers vous permettant d’évaluer le risque cyber lié à vos fournisseurs ou prestataires extérieurs.
6. Conclusion
Comme nous venons de vous le présenter dans cet article, la cybersécurité des établissements financiers est un enjeu primordial au niveau européen, validé par ces nouvelles dispositions règlementaires.
Certes, il est parfois difficile de se soumettre à de nouvelles contraintes. Cela nécessite un investissement non négligeable aussi bien en ressources humaines que matérielles. Cependant, lorsqu’on se rappelle le montant astronomique des dégâts occasionnés par ces cyberattaques, on comprend aisément que cet investissement est indispensable pour assurer la pérennité des organismes financiers et des autres acteurs de l’économie européenne.
De son côté, Make IT Safe a anticipé l’adaptation de sa plateforme logicielle afin de faire face à ces nouvelles menaces. Notre plateforme vous permettra d’avoir une vision à la fois simple et complète de toutes les actions à entreprendre pour que votre organisme se mette pleinement en conformité avec ces nouvelles réglementations.
Pour voir comment les exigences de NIS 2 et de DORA se traduisent en plans d’action dans la plateforme, demandez une démonstration.
