« Autorité renforcée pour l’ANSSI »… et « embouteillage parlementaire ». Lors de la conférence d’introduction des Assises de la sécurité, ce fut à peu près tout au sujet de NIS 2.

Vincent Strubel avait eu l’occasion de s’exprimer plus largement la semaine dernière à l’Assemblée nationale. Il était auditionné par la commission spéciale chargée d’examiner le projet de loi qui doit transposer cette directive. En ligne de mire, des débats en séance publique le 7 octobre. Il n’en a finalement rien été. La veille, le texte a été retiré de l’ordre du jour – avec report sine die – en raison d’un calendrier parlementaire trop chargé.

Un texte attendu par la cyber française

Devant les rapporteurs, le directeur général de l’ANSSI a appelé à ne pas « surtransposer » ou surcharger NIS 2. Le député Philippe Latombe venait de lui demander si, les mois ayant passé (le Sénat a adopté le texte en mars 2025), il était nécessaire d’actualiser le projet de loi.

Fin de non-recevoir pour Vincent Strubel, qui perçoit une « réponse adaptée à l’état de la menace et à ses évolutions anticipées ». Un texte « neutre technologiquement » et dont les mesures « auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois. »

Les délais de transposition, ajoute-t-il, ont un effet d’éviction sur la préparation des entités concernées. Y compris au niveau des allocations de budgets. Ce que les entreprises françaises de cybersécurité ont fait remonter…

Jusqu’à fin 2028 pour se mettre en conformité ?

En mars, l’ANSSI a publié le ReCyF (Référentiel Cyber France), décliné depuis en fiches pratiques. Ce socle pour la conformité NIS 2 sera complété « en delta au cas par cas pour les cadres spécifiques ». À l’exclusion toutefois de ceux qui ne sont pas du ressort de l’ANSSI. Qui invite, le cas échéant, à utiliser le comparateur disponible sur la plate-forme MesServicesCyber.

Lors d’une précédente audition devant cette même commission, Vincent Strubel avait  évoqué un délai de 3 ans avant de demander une conformité complète. Dans le contexte que l’on sait, il considère désormais qu’on « ne peut pas rester sur ce timing ». Est désormais envisagée la fin 2028, pour toutes les entités. En attendant l’application du cadre réglementaire, il y aura des « galops d’essai ». Autant pour accompagner les futurs assujettis que pour permettre le rodage de la missions de contrôle de l’ANSSI.

La logique de sanctions, de pouvoir contraignant doit aussi contribuer à « faire de la cybersécurité non plus un sujet de techniciens mais un sujet de gouvernance : de directions des finances, des affaires juridiques, de boards, de comex… »

Sécurité de l’État : la journalisation, cet autre défi

La transposition de NIS 2 a pour toile de fond la stratégie nationale de cybersécurité publiée en janvier. S’y est ajoutée, en avril, la feuille de route pour la sécurité de l’État. « Pas une nouveauté, mais un calendrier et un pilotage nettement resserrés », pour résumer les propos de Vincent Strubel. Les ministères ont effectivement plusieurs actions à effectuer d’ici au 31 décembre 2026. Dont :

Mettre en œuvre une politique d’audit et de contrôle des SI

Homologuer les SI soutenant des missions essentielles

Mettre en œuvre des procédures d’installation des correctifs de sécurité

Remplacer les éléments de sécurité obsolètes

Généraliser ProConnect sur les SI à enjeux

Mettre en place du MFA pour les administrateurs SI

Déployer des EDR ou XDR sur tous les postes de travail et serveurs

Sous ce régime, l’ANSSI a « vu des chantiers qui étaient jusque-là prévus pour prendre trois ans aboutir en trois mois ». Son DG l’expliquait il y a quelques semaines au député Éric Bothorel, rapporteur principal de la commission spéciale. Il avertissait, en parallèle, que le généralisation de l’authentification forte ou multifacteurs ne serait pas simple. Au menu, « des milliers et des milliers de services numériques », dont une grande partie externalisés, pour lesquels toute évolution est soumise au cadre des marché publics. Bref, « c’est une question de mois, pas d’années ; mais pas non plus de semaines ». Pas vraiment réglo en la matière, la DGFiP doit tenir compte de 90 000 agents, mais aussi potentiellement de centaines de milliers de partenaires extérieures. Parmi eux, des notaires, des comptables de collectivités… ou encore des géomètres experts (profession mise en évidence par une des compromissions).

Il faudra aussi, entre autres, systématiser la génération et la collecte de logs utiles dans l’ensemble des applicatifs de l’État. Or, « c’est loin d’être le cas, et certains ne sont pas tout jeunes, ou développés dans des technologies exotiques ».

« Osons »… penser autrement l’IA

Vincent Strubel trouve « presque surprenante » la consternation née de la publication du rapport sur la DGFiP. L’ANSSI, explique-t-il, y prouve « probablement ce que chaque professionnel de la cybersécurité voit dans son quotidien ». Dit autrement : « Des vulnérabilités de base qu’on trouve partout ».

Face à ce qu’il qualifie de « décalage », l’intéressé avance le travail de transparence que l’agence mène depuis quelques semaines. Il s’est matérialisé avec le rapport sur la DGFiP, le premier point d’étape du dispositif REACTIV… et, cette semaine, un retex que le CERT-FR et le CERT-Santé ont consolidé sur la base des incidents qu’ils ont traités ces dernières années. Ce document fait aussi ressortir des défauts de sécurisation élémentaires (mots de passe par défaut non changeables, absence de contrôle d’accès…).

Ce travail de transparence « pique un peu », admet Vincent Strubel. « Il faut surmonter des pudeurs mal placées, encaisser des traitements parfois un peu sensationnalistes. » Il y a d’autres choses à ne pas éluder, ajoute-t-il : « Est-ce qu’on se parle trop entre nous et pas assez aux autres ? Est-ce qu’on donne parfois trop dans le buzzword et pas assez dans les fondamentaux ?…  »

Cela n’empêche pas d’ « oser penser par soi-même  », en premier lieu sur le sujet de l’IA. Son postulat : plutôt que d’ancrer sa réflexion sur les annonces de quelques fournisseurs, commencer par les mettre face à leurs responsabilités. Les attaques d’agents IA, même dans le cadre de tests ou à l’insu de leur concepteur, « ce n’est pas une prouesse technique, c’est un défaut de sécurité élémentaire. Partout ailleurs, ça provoque […] des mesures urgentes. Ça ne peut pas être différent dans l’IA. Sinon, on va reproduire le péché originel : […] dégager les éditeurs de leur responsabiliré ».

L’œil sur le CRA, binôme de NIS 2

La responsabilité des éditeurs est l’objet du CRA (Cyber Resilience Act). S’agissant d’un règlement, il n’est pas soumis au calendrier parlementaire. Son entrée en application interviendra le 11 décembre 2027.

La commission spéciale de l’Assemblée nationale a choisi d’intégrer cette population « en bloc » dans la transposition de NIS 2. L’ANSSI n’y est pas favorable. Son argument : cela créerait une obligation qui ne s’imposerait qu’aux éditeurs implantés en France.

Pour la prise en charge des sous-traitants, elle juge au contraire qu’on tient « la bonne manière de faire les choses ». Ces acteurs ne sont pas assujettis en tant que tels, mais sont soumis indirectement aux exigences à travers leurs relations contractuelles. « On pourrait toujours faire plus mais à un moment, il faut fixer la barre d’un niveau de complexité et de proportionnalité approprié », résume Vincent Strubel.

L’ANSSI s’estime capable de mener ses nouvelles missions NIS 2… parce qu’elle a adapté son fonctionnement à travers des relais dans les services de l’Etat, le secteur privé et les collectivités. Autrement, avec 670 ETP, « il n’y a pas de gras », d’après son DG, qui rappelle que le BSI (homologue allemand) en a entre 1800 et 2000 pour les mêmes missions.

The post Les Assises 2026 : pour NIS 2, petits mots, grands travaux appeared first on Silicon.fr.