DOSSIER  
New Security Magazine 173 – février 2025

Conséquences de l’introduction de la NIS2 pour le secteur belge des systèmes d’alarme

Une cyberattaque contre des entreprises vitales peut sérieusement altérer le fonctionnement de notre société. Certaines entreprises sont dès lors légalement tenues de garantir une cybersécurité adéquate. Il s’agit notamment des entreprises d’énergie et de télécommunications. Les fournisseurs – notamment de systèmes de sécurité – de ces entreprises vont également devoir se conformer à la directive NIS2.

La directive européenne NIS2 (Network and Information Systems Directive 2) vise à renforcer la résilience numérique et la cybersécurité au sein de l’UE. Depuis le 26 avril 2024, des entreprises belges de divers secteurs – notamment celui des systèmes d’alarme – doivent également répondre à des exigences de sécurité plus strictes. L’implémentation belge de la loi NIS2, qui établit un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général, est entrée en vigueur le 18 octobre 2024. Cette nouvelle directive et la loi qui en découle ont des conséquences pour le secteur belge des systèmes d’alarme, confronté à la fois à des défis et à des opportunités.

Qu’est-ce que la NIS2?

La NIS2 succède à la NIS originale de 2016 et a pour objectif de mieux sécuriser l’infrastructure numérique de secteurs critiques contre les cyberattaques. Alors que la directive originale se concentrait sur un nombre limité de secteurs comme l’énergie, les transports et les soins de santé, la NIS2 élargit le champ d’application. Les fournisseurs de services numériques, les entreprises de télécommunications et le secteur des systèmes d’alarme sont désormais aussi soumis à cette législation. Le secteur des systèmes d’alarme semble logique car si des pirates informatiques parviennent à saboter un système de sécurité, ils pourront facilement s’attaquer à l’objet protégé. La directive impose donc des obligations spécifiques aux entreprises considérées comme des entités ‘essentielles’ ou ‘importantes’. Cela inclut notamment l’obligation de renforcer les mesures de cybersécurité. Les entreprises doivent implémenter des mesures techniques et organisationnelles pour limiter les cyberrisques. Le rapport d’incident devient obligatoire. Les organisations doivent signaler les cyberincidents graves au CCB (Centre for Cybersecurity Belgium) dans les 24 à 72 heures. De plus, les entreprises doivent cartographier les risques dans la chaîne. Les fournisseurs et les partenaires doivent se conformer aux exigences de sécurité, ce qui met une pression supplémentaire sur les entreprises. Le non-respect de la NIS2 peut entraîner des amendes élevées, similaires à celles prévues par le RGPD et la vie privée.

Le secteur belge des systèmes d’alarme

Le secteur belge des systèmes d’alarme comprend un éventail d’acteurs, comme les centrales d’alarme, les installateurs et les fournisseurs de systèmes de sécurité, et est un secteur crucial pour la protection des citoyens et des entreprises. Les systèmes pour notamment la détection d’intrusion, la gestion des accès et les caméras de surveillance utilisent souvent des réseaux numériques et des technologies basées sur le cloud. Le secteur devient vulnérable aux cyberattaques, comme les ransomware et les fuites de données. L’introduction de la NIS2 intervient à un moment où la cybercriminalité atteint des sommets en Belgique. Selon le CCB, les cyberattaques contre les entreprises ont augmenté de 25 pourcents ces cinq dernières années. Le secteur des systèmes d’alarme, qui gère des données confidentielles et des installations sensibles de clients, pourrait donc devenir une cible attrayante.

Impact de la NIS2 sur le secteur des systèmes d’alarme

L’une des grandes conséquences de NIS2 est la nécessité de faire passer la cybersécurité au niveau supérieur. Les entreprises du secteur des systèmes d’alarme doivent sécuriser leurs réseaux contre toute manipulation ou accès non autorisé et implémenter le cryptage pour le stockage et la transmission des données. Pour vérifier la pertinence de la sécurité, des tests d’intrusion (pen tests) doivent être effectués régulièrement pour détecter les faiblesses des systèmes. Pour les petits acteurs, comme les installateurs locaux, cela peut représenter un défi financier et organisationnel. Les grandes entreprises, en revanche, disposent souvent déjà d’une infrastructure de base pour répondre à ces exigences mais elles devront affiner leurs processus. À l’instar des grandes organisations vitales, les fournisseurs de solutions de sécurité seront confrontés à des obligations de reporting. Les entreprises doivent signaler au CCB tout incident ayant un impact significatif sur les services opérationnels. Cela comprend les cyberattaques mais aussi les défaillances techniques susceptibles de perturber les services. Pour les centrales d’alarme et les entreprises de surveillance, cela peut représenter une charge administrative car elles doivent désormais implémenter des procédures proactives pour détecter, évaluer et signaler rapidement les incidents.

Un contrôle plus strict des fournisseurs

Le secteur des systèmes d’alarme s’appuie souvent sur des fournisseurs tiers pour le hardware, le software et les solutions cloud. Dans le cadre de NIS2, les entreprises sont tenues responsables de la sécurité de l’ensemble de leur chaîne. Les entreprises de systèmes d’alarme doivent donc contrôler la conformité de leurs fournisseurs aux normes de cybersécurité. Elles doivent notamment adapter leurs contrats pour imposer le respect de la NIS2. Il faudra également effectuer des audits réguliers chez les partenaires. Tout cela augmente le coût et la complexité de l’exploitation de l’entreprise. Des investissements dans de nouvelles technologies et de nouveaux logiciels seront nécessaires, il faudra déployer des experts en cybersécurité et former le personnel pour se conformer à la directive. Pour les petites entreprises, la pression financière associée pourrait potentiellement conduire à une consolidation au sein du marché.

Opportunités

L’introduction de la NIS2 comprend des défis mais également des opportunités. Les entreprises qui se conforment aux normes de sécurité plus strictes de la NIS2 peuvent en faire un argument de vente. Les clients, en particulier du secteur vital, ne peuvent acheter des services et des produits qu’auprès des fournisseurs pouvant garantir une cybersécurité conforme. En outre, la pression exercée pour se conformer à la NIS2 pourrait encourager les entreprises à investir dans des solutions innovantes, comme une informatique de pointe, pour traiter les données sensibles localement plutôt que dans le cloud. L’intérêt porte également sur la surveillance basée sur l’IA pour détecter et neutraliser les menaces plus rapidement. Cela pourrait épargner bien des soucis aux entreprises de systèmes d’alarme. Car comment expliquer aux clients que leurs informations confidentielles sont tombées dans de mauvaises mains ? De plus, les entreprises qui implémentent la NIS2 rapidement et efficacement peuvent se différencier de leurs concurrents en retard, ce qui peut conduire à une augmentation des parts de marché et à des relations clients durables.

Étapes pratiques

Pour minimiser l’impact de la NIS2 et en récolter les bénéfices, les entreprises du secteur des systèmes d’alarme peuvent suivre une feuille de route. Celle-ci commence par une analyse des risques pour déterminer où l’organisation est vulnérable aux cybermenaces. Cela permet d’établir des priorités et de prendre des mesures ciblées. L’étape 2 consiste à mettre en place des stratégies et des procédures. Des directives internes claires sont nécessaires sur la manière de gérer la cybersécurité et le reporting d’incidents. L’ensemble du personnel doit en avoir connaissance. En outre, il faut des mesures pour encourager le respect des règles et réduire les erreurs. Il devrait par exemple être impossible de choisir des mots de passe faibles.

Une fois l’organisation interne en ordre, il faut s’intéresser à la chaîne. Plusieurs grandes organisations ont déjà été touchées par des cyberincidents parce qu’elles utilisaient des produits mal sécurisés de leurs fournisseurs. Il faut donc fixer des critères de sélection des fournisseurs et procéder à des audits. Les entreprises qui n’ont pas d’expertise en cybersécurité sont invitées à travailler avec des prestataires de services informatiques spécialisés pour garantir la conformité.

L’introduction de la directive NIS2 marque un tournant pour le secteur belge des systèmes d’alarme. La réglementation plus stricte pose des défis mais le respect de la directive peut conduire à une amélioration de la sécurité, de la confiance des clients et de l’innovation. Les entreprises qui réagissent de manière proactive aux changements peuvent renforcer leur position sur un marché de plus en plus compétitif. Pour le secteur dans son ensemble – et notre société en général – la NIS2 est un défi mais aussi une opportunité de relever la barre et d’évoluer vers un avenir plus résilient face aux menaces numériques.

Plus d’information via le site du CCB

https://ccb.belgium.be/nl/nis2

https://regelhulpenvoorbedrijven.nl/NIS-2-NL/

Par: Vincent Vreeken