Consultations NIS 2, une démarche contributive qui s’inscrit dans la durée
Dans le cadre du projet de transposition de NIS 2, l’ANSSI a organisé sur plusieurs mois des consultations auprès des organisations professionnelles des secteurs visés par la directive d’une part, et auprès des associations d’élus de collectivités territoriales d’autre part. L’occasion d’orienter le futur texte de transposition de la directive.
Dans le cadre du projet de transposition de la directive NIS 2 (Network and Information Security – en français : sécurité des réseaux et des systèmes d'Information), l’ANSSI a organisé sur plusieurs mois des consultations auprès des organisations professionnelles des secteurs visés par la directive d’une part, et auprès des associations d’élus de collectivités territoriales d’autre part. Ces sessions de dialogue ont permis de recueillir les avis des différentes parties prenantes afin d’orienter le futur texte de transposition de la directive. Elles ont vocation à se poursuivre dans la phase règlementaire, puis de mise en œuvre de la directive.
Les bilans de ces consultations ont été présentés en deux temps distincts : le 24 avril 2024 au Campus Cyber, et le 3 mai 2024, à l’Hôtel National des Invalides. Tous deux ont servi à mettre en lumière les attentes et les besoins des acteurs, dont l’ANSSI tiendra compte pour l’élaboration des textes législatif et réglementaires.
L’ANSSI à l’écoute des retours du terrain pour façonner le texte de transposition
Les consultations sectorielles ont rassemblé plus de 70 organisations représentantes des entreprises privées et publiques. Parmi elles, des fédérations, des associations et des syndicats professionnels issus de l’ensemble des secteurs concernés par la directive. Vincent Strubel, le directeur général de l’ANSSI, a salué l’ampleur du travail effectué par les organisations professionnelles et les a remerciées pour leurs retours constructifs qui participent à l’élaboration du cadre législatif, règlementaire et infra-règlementaire.
L’événement bilan du 24 avril a permis de faire la synthèse sur le périmètre des futures entités essentielles (EE) et entités importantes (EI), sur les interactions entre l’ANSSI et les entités, et sur les mesures de cybersécurité qui seront appliquées. Cette dernière séquence a été l’occasion pour l’ANSSI d’informer les futures entités essentielles et importantes sur l’accompagnement dont elles pourront bénéficier, et aussi sur la manière avec laquelle l’Agence endossera ses nouveaux rôles de supervision et de contrôle.
L’ANSSI identifie les associations et les fédérations de collectivités comme des relais stratégiques dans le déploiement de la directive NIS 2
Les associations d’élus locaux et les fédérations telles que l’Association des villes et collectivités pour les communications électroniques et l'audiovisuel (AVICCA), la Fédération nationale des collectivités concédantes et régies (FNCCR), le Développement d’Échanges entre Collectivités Locales en matière d’Informations et de Communications (DECLIC), ou encore la Fédération Nationale des Centres de Gestion (FNCDG) ont, elles aussi, joué un rôle crucial dans le processus des consultations en relayant les voix de leurs membres.
L’événement bilan du 3 mai a révélé plusieurs grandes tendances et priorités. La nécessité de faire évoluer le niveau de maturité cyber des collectivités territoriales vient comme une évidence et ce besoin va de pair avec celui de mutualiser la sécurisation des systèmes informatiques à l’échelle territoriale, que ce soit d’un point de vue de la soutenabilité financière ou de celui de la ressource disponible en compétences techniques.
Les échanges au cours de cette dernière session ont permis d’éclaircir certains points, considérés comme sensibles ou critiques. Il a été convenu que ces dialogues se poursuivent, concernant la compréhension du périmètre de la directive, la déclaration des incidents, ou encore le référentiel de règles de cybersécurité, notamment à l’aune des futurs travaux réglementaires.
Poursuite des travaux de transposition : une construction par étapes
Lors des deux événements, la notion de progressivité a été évoquée à plusieurs reprises. En introduisant des exigences strictes et un périmètre d’application élargi, la directive NIS 2 représente un pas significatif pour l’ensemble des entités assujetties, c’est pourquoi l’ANSSI a la volonté de trouver, avec l’ensemble des acteurs, une voie qui satisfera les obligations de la loi et les aspects réglementaires, en tenant compte d’une temporalité juste et accessible.