Cybersécurité européenne : progrès et nouveaux défis
L'Agence européenne de cybersécurité (Enisa) a publié son dernier rapport NIS360 et y dresse un tableau nuancé de la résilience numérique de l'Europe. La mise en œuvre généralisée de la directive NIS 2 sur la sécurité des réseaux et de l'information produit des effets et entraîne, tous secteurs confondus, des investissements accrus dans les infrastructures critiques. Il subsiste néanmoins, dans de nombreux domaines d'importance systémique, un écart dangereux entre la réalité de la menace et la résistance effective aux crises.
Méthodologie d'évaluation : du niveau de maturité à la zone de risque
Pour cette étude, l'Enisa a évalué l'ensemble de l'écosystème des secteurs. L'évaluation porte sur la qualité des lois, la préparation des entreprises et la capacité d'action des autorités de contrôle. Ce niveau de sécurité est mis en regard de la criticité sociétale, mesurée d'après le degré de numérisation et les effets en cascade possibles d'une défaillance pour les citoyens.
Du rapport entre dépendance et niveau de sécurité, l'Enisa déduit une « zone de risque » regroupant les secteurs dont la maturité est inférieure à la moyenne de l'UE. Le niveau général ayant progressé, de nouveaux domaines ont basculé dans cette zone de danger.
Transport ferroviaire et approvisionnement en eau dans la zone de risque
L'évolution du transport ferroviaire ainsi que de l'approvisionnement en eau potable et de l'assainissement est particulièrement préoccupante. Ces deux domaines ont entièrement basculé dans la zone de risque. La critique tient au fait que ces secteurs ne parviennent pas à suivre le rythme du marché.
Dans le transport ferroviaire, les attaquants se concentrent sur des technologies d'exploitation et des systèmes d'aiguillage obsolètes. C'est un problème sérieux, car les systèmes radio vieillissants et l'infrastructure des postes de commande sont extrêmement difficiles à corriger. Ils offrent même aux attaquants la possibilité d'arrêter des trains à distance. Son importance pour la logistique militaire fait en outre du transport ferroviaire une cible croissante de cyberattaques.
L'approvisionnement en gaz, une éclaircie
L'approvisionnement en gaz enregistre en revanche une tendance positive : grâce à un échange d'informations plus intense, il est parvenu à sortir de la zone de risque.
Des défis propres à chaque secteur
Secteur spatial : écarts de qualité et risques géopolitiques
La situation reste préoccupante dans le secteur spatial, marqué par d'énormes écarts de qualité. La société numérique s'oriente vers une dépendance croissante aux données satellitaires pour la navigation, les échanges financiers et la climatologie. Ce rôle clé fait de ce domaine une cible de cyberattaques géopolitiques, par exemple via le brouillage du GPS, qui pose problème depuis quelques années en mer Baltique.
NIS 2 ne couvrant jusqu'ici qu'une partie de la chaîne d'approvisionnement, un déséquilibre s'installe : les géants de l'aéronautique sont excellemment protégés, tandis que de plus petits sous-traitants traînent des lacunes de sécurité considérables.
Économie maritime et sûreté portuaire
Dans l'économie maritime, des cyberattaques contre des zones portuaires connectées menacent même de déstabiliser des chaînes d'approvisionnement mondiales. La connexion croissante des grues portuaires et des systèmes de bord au cloud ouvre des portes d'entrée. Les autorités portuaires nationales manquent souvent cruellement d'expertise informatique.
Santé et prestataires informatiques dans la moyenne
Le secteur de la santé et les prestataires informatiques luttent contre des obstacles structurels. Les hôpitaux souffrent d'un manque de budget et de personnel qualifié, ce qui en fait, sous la pression des soins aux patients, une cible idéale pour les maîtres chanteurs des rançongiciels. Les prestataires de services informatiques servent quant à eux de tremplin stratégique aux cyberattaquants, qui détournent simultanément des centaines de réseaux clients via les accès de maintenance.
Les administrations publiques à la traîne
Le secteur public manque avant tout d'expertise en cybersécurité au niveau de la direction, ce qui explique que les mises à jour de sécurité prennent souvent des mois et que les portails administratifs soient régulièrement victimes d'attaques d'hameçonnage et de saturation réussies.
Secteurs performants : des banques à l'électricité
Les secteurs traditionnellement très réglementés tels que la banque, les télécommunications et l'approvisionnement électrique font figure de rocs dans la tempête. Les infrastructures des marchés financiers et les services de confiance rejoignent cette année ce groupe de tête en matière de maturité cyber. Portée par le règlement DORA applicable aux marchés financiers, la sécurité y a été ancrée avec succès comme un risque métier au niveau de la direction générale.
Tendances futures et recommandations stratégiques
Pour l'avenir, l'Enisa identifie trois grandes tendances qui vont ébranler l'équilibre sécuritaire : l'évolution fulgurante de l'IA, qui fournit aux attaquants de nouveaux outils tels que les hypertrucages, des chaînes d'approvisionnement logicielles très complexes, ainsi que les bouleversements géopolitiques.
L'agence recommande impérativement aux secteurs critiques de passer d'une culture de conformité purement bureaucratique à une pratique vécue et résiliente. Cela suppose une réorientation profonde des stratégies de sécurité, allant au-delà du simple respect des exigences réglementaires.
Conclusion : entre progrès et défis croissants
Le rapport NIS360 montre clairement que le paysage européen de la cybersécurité est marqué par des écarts considérables entre secteurs. Si la directive NIS 2 donne des impulsions positives et que certains secteurs progressent nettement, la numérisation croissante et de nouvelles menaces créent aussi de nouveaux risques. L'extension de la zone de risque montre que des adaptations et des investissements continus dans la cybersécurité des infrastructures critiques sont indispensables pour suivre le rythme d'une menace en constante évolution.
