Nouvelles règles de sécurité brûlantes : DORA et l’équipe provoquent une légère panique

Bien que les entreprises croates soient assez matures et conscientes des dangers et des risques en matière de cybersécurité, les nouvelles exigences élaborées à Bruxelles que nous devons mettre en œuvre suscitent lentement la panique. Ce qui doit être mis en œuvre n’est pas clair pour beaucoup, car certaines réglementations subordonnées sont attendues, et ce qui est sûr, c’est que les nouvelles réglementations signifient de nouveaux investissements. Le coût affectera presque tous les secteurs.

Le secteur financier se prépare, par exemple, pour DORA (Digital Operational Resilience Act), la loi sur la résilience numérique, qui s’applique à tous les fournisseurs de services financiers, aux banques, aux compagnies d’assurance et d’investissement, mais aussi aux grands fournisseurs de services technologiques d’une importance particulière pour le secteur financier de l’UE, tels que les principaux fournisseurs de services de cloud computing, ainsi que les échanges de cryptomonnaies. Cette loi prescrit toute une gamme de nouvelles obligations qui ont un dénominateur commun – ces réglementations doivent garantir que toutes les parties prenantes des secteurs auxquels elles s’appliquent sont capables de résister, de répondre et, en fin de compte, de se remettre de tous les types de perturbations liées aux technologies de l’information et de la communication.

—

– En mettant en œuvre les réglementations DORA, nous améliorerons encore les processus de gestion des risques liés aux technologies de l’information et de la communication, de signalement des incidents et de surveillance des fournisseurs de services TIC.

—

– En mettant en œuvre les réglementations DORA, nous améliorerons encore les processus de gestion des risques liés aux technologies de l’information et de la communication, de signalement des incidents et de surveillance des fournisseurs de services TIC. Tous ces ajustements s’inscrivent dans la stratégie existante d’Addiko Bank, qui est axée sur le maintien de normes de sécurité élevées pour protéger les intérêts de nos clients, a déclaré Željko Mažić, Responsable de la sécurité de l’information chez Addiko.

Des changements sont également reconnus à Zagrebačka Bank, qui se prépare activement à se conformer aux nouvelles réglementations.

Informations précises et inexactes

—

– NIS2 et NIS 2.0, c’est-à-dire la loi sur la cybersécurité, affecteront plusieurs secteurs, par exemple, l’énergie, le transport, la santé et l’infrastructure numérique, les services postaux et de messagerie, la gestion des déchets, la fabrication et les systèmes de recherche et d’éducation. Ces secteurs doivent aborder à la fois la sécurité et la résilience de manière plus robuste, ce qui changera certainement le modèle commercial de ceux auxquels cela s’applique, souligne Antonija Vojnović, gestionnaire de la gouvernance, des risques et de la conformité chez Span. Cependant, tout ne se passe pas bien, et une légère panique est survenue.

—

– Nous attendons encore des réglementations subordonnées qui définiront plus clairement les mesures de cybersécurité que DORA, ou NIS2 prescrivent. C’est l’une des raisons pour lesquelles des informations inexactes ont atteint le public, ce qui a finalement entraîné la création de panique et la promotion de manières incorrectes de se conformer aux exigences légales. Nous verrons avec le temps comment la tendance se développera. Actuellement, dans toute la forêt de l’éducation, des conférences et d’événements similaires, les gens ont de plus en plus de mal à reconnaître les informations justes et précises, souligne Vojnović.

—

– En tant que futur obligé de la directive NIS2, nous investissons continuellement dans des outils de surveillance et la protection du système d’information pour garantir la continuité des opérations de l’entreprise.

—

NIS2 a un champ d’application plus large que les réglementations précédentes, donc ses règles s’appliqueront à ces secteurs et organisations qui n’ont pas (suffisamment) pris en compte leur sécurité dans le cyberespace jusqu’à présent. Heureusement, Podravka n’a pas négligé la sécurité de l’information, comme le dit Marinko Beljo, directeur du secteur de la sécurité d’entreprise et de l’information, et pour cette entreprise, ce segment est l’un des aspects clés de la transformation numérique.

– En tant que futur obligé de la directive NIS2, nous investissons continuellement dans des outils de surveillance et la protection du système d’information pour garantir la continuité des opérations de l’entreprise. En général, puisque Podravka est une entreprise de fabrication et a mis en œuvre un système de gestion de la sécurité de l’information, qu’elle a commencé il y a cinq ans, la conformité aux normes européennes mentionnées ne pose pas de problème. Une éducation continue et une sensibilisation des employés à l’importance de la sécurité de l’information sont menées, ce qui est crucial pour un système de gestion de la sécurité de l’information réussi. Nous pouvons dire que Podravka aujourd’hui a d’excellentes bases de sécurité de l’information, qu’elle développera encore grâce à des investissements et des efforts continus, a déclaré Beljo.

Déterminer la sécurité numérique

Toutes les nouvelles directives de sécurité affecteront également considérablement les entreprises publiques. À Hrvatska elektroprivreda (HEP), par exemple, ils notent que la protection et la résilience sont des objectifs stratégiques très importants pour l’entreprise car, comme ils le soulignent,’seul un niveau élevé de sécurité peut garantir la stabilité et le succès des opérations, la continuité du service pour tous les utilisateurs, les conditions de fonctionnement et de développement de l’ensemble de l’économie croate, et la sécurité de tous les citoyens’.

– Nous pouvons dire que la directive NIS2 a été cruciale pour sensibiliser à la cybersécurité chez HEP et dans notre secteur en général, car elle détermine directement la sécurité numérique, c’est-à-dire la cybersécurité de notre organisation. L’application de cette directive et d’autres nouvelles réglementations de sécurité s’inscrit dans les plans opérationnels et financiers pour construire, mettre en œuvre et améliorer continuellement le système de gestion de la sécurité de l’information et de la cybersécurité du groupe HEP en tant que principale entreprise nationale d’électricité, ont répondu de HEP.

La directive NIS2 et la loi sur la cybersécurité sont également des sujets d’actualité chez ZET, où ils répondent qu’ils se préparent à établir un système de gestion des risques de sécurité et des incidents conformément aux délais définis,’ce qui, entre autres, aidera à sensibiliser tous les employés de ZET à l’importance des informations auxquelles ils ont accès et au respect des règles de sécurité, pour lesquelles une éducation continue des employés et un investissement dans de nouvelles technologies de sécurité de l’information seront nécessaires’.

– Nous nous attendons à ce que la mise en œuvre de solutions qui répondront aux exigences des nouvelles réglementations légales révèle des lacunes dans les processus commerciaux existants et permette leur amélioration et optimisation progressive et continue, notent-ils chez ZET.

Pression sur l’organisation interne

—

– Tout changement ne sera pas nouveau dans sa mise en œuvre, surtout si les nouvelles mesures sont raisonnables.

—

Hrvatska pošta, par exemple, éduque régulièrement ses employés sur les moyens de se protéger contre les cyberattaques potentielles et comment les reconnaître. La mise en œuvre de nouvelles réglementations affectera leurs opérations, donc ils envisagent déjà, ont-ils dit, les investissements nécessaires dans de nouvelles technologies et la formation des employés pour garantir la conformité aux nouvelles exigences. A1 surveille également de près tous les changements dans les réglementations de cybersécurité et est au courant de toutes leurs exigences, mais comme l’a souligné Martina Dragičević, la directrice des affaires réglementaires et des fonds de l’UE, pour comprendre pleinement les changements que cette entreprise de télécommunications devra mettre en œuvre, il est nécessaire d’attendre l’adoption des réglementations nationales et des normes de sécurité, qui jouent un rôle très important dans la définition des obligations.

– Étant donné que le secteur des communications électroniques est déjà très réglementé et que le niveau de maturité des politiques et des normes de sécurité est plus élevé par rapport à certains autres secteurs, tout changement ne sera pas nouveau dans sa mise en œuvre, surtout si les nouvelles mesures sont raisonnables, explique Dragičević.

—

– Les nouvelles réglementations n’affecteront pas directement les services clés, du moins tels qu’ils sont perçus de l’extérieur, mais nécessiteront une analyse et des ajustements potentiels des processus internes, des contrôles et des technologies utilisées pour fournir des services spécifiques. Cela se traduira par des services plus stables, sécurisés et meilleurs, mais la pression des exigences est principalement orientée vers l’organisation interne.

—

Chez Hrvatski Telekom, ils travaillent continuellement et activement à élever le niveau de sécurité numérique de l’organisation et des services, et le cadre réglementaire leur fournit un certain focus sur des domaines spécifiques qu’ils doivent, dit Saša Ilić, responsable de la cybersécurité & CISO, aborder.

– Bien que ce soient des normes très exigeantes, c’est-à-dire des règles de sécurité, notre position de départ concernant les technologies et les processus de sécurité, ainsi qu’un cadre réglementaire relativement organisé dans l’industrie, nous donne des raisons de croire que nous n’aurons pas de défis particuliers en matière de conformité, croit Ilić.

Il ajoute également que les nouvelles réglementations n’affecteront pas directement les services clés, du moins tels qu’ils sont perçus de l’extérieur, mais nécessiteront une analyse et des ajustements potentiels des processus internes, des contrôles et des technologies utilisées pour fournir des services spécifiques. Cela se traduira par des services plus stables, sécurisés et meilleurs, mais la pression des exigences est principalement orientée vers l’organisation interne.

– Des investissements financiers dans les technologies de sécurité sont nécessaires pour introduire et maintenir un système de sécurité. Cela est régulièrement planifié et sécurisé, mais pour atteindre le niveau défini et attendu dans les nouvelles réglementations, des investissements supplémentaires seront encore nécessaires, a déclaré Ilić.

Secteurs clés

—

– Un groupe de travail inter-départemental a été établi qui travaille actuellement à définir les détails des réglementations subordonnées de la loi sur la cybersécurité, qui définiront plus spécifiquement les obligations. Les projets de ces actes devraient être disponibles pour lecture publique d’ici la mi-été, ce qui clarifiera davantage les obligations et exigences spécifiques pour chaque secteur, a conclu Morić.

—

Zlatan Morić, responsable du département de cybersécurité à l’Université d’Algebra, déclare que les nouvelles règles de sécurité de l’UE, y compris DORA et NIS2, exigent que les entreprises de divers secteurs mettent en œuvre des mesures de sécurité plus strictes, établissent de meilleurs plans de récupération et d’analyse des risques, et améliorent leurs systèmes de détection précoce et de signalement des incidents de sécurité. Les entreprises de ces secteurs doivent respecter des normes plus strictes prescrites par la nouvelle loi, qui incluent des obligations telles que des audits indépendants ou des plans d’urgence développés. Ces secteurs sont reconnus comme à haut risque car ils sont cruciaux pour la société et l’économie, et donc pour la sécurité nationale, ce qui signifie que leur compromission pourrait avoir des conséquences de grande portée.

– Il est important de noter qu’un groupe de travail inter-départemental a été établi qui travaille actuellement à définir les détails des réglementations subordonnées de la loi sur la cybersécurité, qui définiront plus spécifiquement les obligations. Les projets de ces actes devraient être disponibles pour lecture publique d’ici la mi-été, ce qui clarifiera davantage les obligations et exigences spécifiques pour chaque secteur, a conclu Morić.