Code de la cybersécurité : quels enjeux cyber pour les entreprises en 2022 ? - Entretien avec Brunessen Bertrand

Prendre conscience du risque cyber, un enjeu majeur pour les entreprises

 Dans un contexte d’accroissement du nombre des menaces cyber, la première édition du Code de la cybersécurité, parue en juin 2022, a pour objectif d’aider les entreprises et leurs collaborateurs à anticiper les cyber risques et à y apporter une réponse pertinente. Brunessen Bertrand, Agrégée des facultés de droit, Professeure à l'Université de Rennes 1 et coauteur du Code revient sur les enjeux cyber pour les entreprises en 2022.

Comment définiriez-vous la cybersécurité ?

Au sens strict, la cybersécurité peut se définir comme la sécurité des réseaux et des systèmes d’information contre toutes formes d’intrusions ou d’attaques susceptibles de compromettre la qualité, la disponibilité, ou l’authenticité de leurs données. Dans une vision plus large, la cybersécurité englobe également la cyberdéfense.

Pourquoi un Code de la cybersécurité ?

Le premier objectif du Code de cybersécurité est la sensibilisation des particuliers et des entreprises aux enjeux de cybersécurité. D’une façon générale, les organisations privées ne se protègent pas suffisamment contre le risque cyber, qui leur apparaît lointain et abstrait jusqu’à ce qu’elles y soient confrontées. Et lorsqu’elles y font face, les entreprises ne font pas toujours preuve de réactions adéquates. Ces entités doivent être tout d’abord en mesure de comprendre les informations relatives au niveau de sécurité des produits et services qu’elles souhaitent utiliser. Mais il est également essentiel qu’elles adoptent une « hygiène informatique » afin de réduire leur vulnérabilité aux cyberattaques. En second lieu, le Code a vocation à clarifier le droit de la cybersécurité en rassemblant notamment des textes épars, qui rendent complexe la connaissance de ce sujet et affaiblissent la réponse aux risques cyber. Le Code a enfin pour objet de rendre intelligibles et accessibles les questions juridiques de cybersécurité à tout responsable de la prévention et de la réponse aux cyberattaques : ont donc été inclus des commentaires destinés à expliciter les textes légaux qui y figurent.

Comment la réglementation « cybersécurité » a-t-elle évolué ces dernières années ?

De façon fragmentée et hétérogène, la réglementation « cybersécurité » s’est progressivement renforcée au niveau national et européen. Une attention particulière a été accordée à la clarification des risques cyber, qui ne se réduisent pas aux cyberattaques et aux actions malveillantes (hameçonnage, etc.), mais concernent aussi les défaillances de systèmes, de tiers, la survenue de phénomènes naturels (incendie, etc.), ou encore les erreurs humaines. La réglementation a pu en outre aider à mesurer le degré de gravité des menaces, l’impact des incidents cyber, qui varie selon le secteur touché, ainsi que leurs perspectives d’amélioration ou d’aggravation. Il en a résulté une protection accrue des « opérateurs d’importance vitale » (OIV) et des « fournisseurs de services numériques » (FSN), même si certains secteurs particulièrement sensibles aux cybermenaces, comme celui de l’hébergement touristique, par exemple, restent encore exclus de son champ d’application.

Quels sont les enjeux en matière de cybersécurité pour les organisations en 2022 ?

Le premier enjeu consiste en la prise de conscience du risque cyber, souvent lointain et abstrait pour les entreprises, qui espèrent parfois bénéficier, par ricochet, de mesures de protection mises en place par d’autres organisations auxquelles elles sont interconnectées. Un autre enjeu consiste à amener les entreprises à signaler systématiquement les incidents dont elles font l’objet, afin que leur résilience soit évaluée avec plus de justesse et qu’une réponse collective soit apportée aux cyberattaques.

A quelles évolutions s'attendre ces prochaines années concernant les enjeux de cybersécurité ? Avec quelles possibles répercussions sur le cadre légal et réglementaire ?

Nous devons nous préparer au développement de l’Internet des objets et au passage du Cloud computing à l’Edge computing, qui vont accroître la surface d’attaque cyber. Pour y faire face, la Commission européenne vient par ailleurs de proposer un « Cyber Resilience Act », dont l’objectif est de renforcer la sécurité des produits et logiciels. D’autre part, la menace cyber s’élargissant à tous les secteurs, la directive NIS 2 (« Network and Information System Security »), en cours d’adoption, assurera une protection renforcée aux entités essentielles publiques ou privées de certains secteurs (énergie, transports, etc.). En dernier lieu, il conviendra de tenir compte davantage des chaînes de valeur et de l’interconnectivité dans la lutte contre les cybermenaces, qui tendent de plus en plus vers la sophistication et l’hybride.