Les entreprises croates ont jusqu’à l’automne 2025 pour se conformer à la nouvelle loi sur la cybersécurité, qui s’applique à presque toutes les entreprises dans une mesure plus ou moins grande, comme l’a souligné lundi à l’Académie HGK sur la cybersécurité, mettant en avant son importance pour la sécurité et la résilience de l’économie globale.
L’Académie a rassemblé plus de 150 représentants d’entreprises de différentes tailles, suscitant un intérêt significatif parmi les membres de la HGK (Chambre de Commerce Croate). La responsable du département industriel, Tajana Kesić Šapić, a annoncé qu’en raison de cet intérêt, une autre académie et des ateliers sectoriels seront organisés dans un mois.
Elle a rappelé que la loi sur la cybersécurité en Croatie a été adoptée en février de cette année et que les entreprises ont 18 mois pour se conformer, c’est-à-dire jusqu’à environ l’automne 2025, ainsi que pour se conformer à la deuxième directive de l’UE NIS2 sur la cybersécurité.
– L’Académie informera, sensibilisera et éduquera les entrepreneurs sur la loi et son application, leurs obligations et les moyens d’atteindre la conformité sur deux jours. Par conséquent, nous avons mené une enquête auprès de 200 entreprises, qui a montré que maintenant deux fois plus d’entreprises deviennent soumises à la loi par rapport à la première directive de l’UE NIS1 – a souligné Kesić Šapić.
Dans l’enquête, 65 % des répondants ont indiqué qu’ils tombent dans la catégorie des entités importantes selon la nouvelle loi, ce qui signifie, a-t-elle expliqué, que le secteur réel a l’obligation de se conformer à la directive NIS2 et à la loi, y compris 73 % des petites et moyennes entreprises parmi elles.
Plus de 50 % des entreprises manquent d’un plan de formation
Soixante pour cent ont déclaré qu’ils avaient investi dans la mise en œuvre des normes ISO, mais pas dans leurs mises à jour, et plus de la moitié des entreprises ont indiqué qu’elles n’ont pas de plan de formation adopté sur les risques de cybersécurité, ni de plan pour gérer les incidents de cybersécurité. Seules 25 % des entreprises interrogées ont cela, et plus de 70 % ont mentionné le manque de vérifications sur les chaînes d’approvisionnement pour les menaces de cybersécurité, ni ne réalisent des simulations de cyberattaques.
Kesić Šapić a déclaré que le législateur doit maintenant adopter des actes d’application de la loi, qui définiront plus spécifiquement les obligations des entités soumises à la loi, ce qui inclut en fait toutes les entreprises qui ont une infrastructure critique (énergie, approvisionnement en eau, transport, etc.), qu’elles soient petites ou grandes, ou des industries entières, de la chimie, du traitement des métaux à l’informatique, à la gestion des déchets, et bien d’autres.
– C’est un spectre très diversifié de sujets, et l’adaptation ne commencera en fait que lorsque le Centre National de Cybersécurité émettra une catégorisation et informera les entreprises de la catégorie à laquelle elles appartiennent, ce qui inclut également les chaînes d’approvisionnement, et les obligations varieront en conséquence – a transmis Kesić Šapić.
Les investissements sont rentables et inférieurs aux dommages potentiels
Lorsqu’on lui a demandé combien de coûts de conformité cela représente pour les entreprises et s’il y aura un soutien, elle a déclaré que des bons numériques peuvent être utilisés à cet effet, mais qu’ils n’ont pas été beaucoup utilisés à cette fin jusqu’à présent. Cependant, elle espère que dans une nouvelle ‘tranche’ de ces soutiens, il y aura des fonds pour cela, car les investissements ne sont pas négligeables, mais ils valent certainement le coup et sont inférieurs aux dommages potentiels que les cyberattaques peuvent causer aux entreprises.
Des avertissements similaires ont été émis par le président de l’Association IT de la HGK, Alojzije Jukić, et le conseiller en cybersécurité et conférencier à l’académie, Marko Gulan, indiquant que les investissements dépendent de la taille de l’entreprise et de ce qu’elle possède déjà.
– Il est important qu’il y ait de nombreuses entreprises informatiques en Croatie qui peuvent aider et réaliser tout, de l’analyse de la situation à la mise en œuvre de la protection et du suivi, et certaines le font déjà pour environ dix entreprises domestiques. Il est crucial d’expliquer d’abord les risques à tout le monde et pourquoi il est important d’investir dans ce domaine – a déclaré Jukić.
Et il est important, a-t-il ajouté, en raison des cyberattaques qui sont préparées et se produisent non pas toutes en même temps mais sur 200 jours, et il est possible que certaines volent déjà des données sans que les entreprises et les organisations ne le sachent, ainsi que le public, ce qui est également rare, surtout lorsqu’il s’agit de grandes entreprises et lorsque les dommages sont plus réputationnels que financiers.
À cet égard, Gulan a déclaré que toutes les entreprises de logiciels qui fournissent des solutions à cet effet devront également être certifiées, notant qu’une cyberattaque sérieuse se produit toutes les 11 secondes dans l’UE, au cours de laquelle, par exemple, des données sont volées, tandis qu’actuellement jusqu’à 10 téraoctets de données sont volées aux entreprises de l’UE chaque mois.
– En Croatie, le niveau actuel de maturité du marché pour l’application des solutions de cybersécurité n’est pas à un niveau louable, ni l’hygiène de cybersécurité, qui est également faible, comme le montre une recherche indiquant que seulement environ 70 % des entreprises interrogées estiment qu’elles ont besoin de beaucoup de formation dans ce domaine – a conclu Gulan.
