00:10Les cyberattaques se multiplient et les entreprises font face à une pression
00:14réglementaire sans précédent. Quel est l'état de la menace ? Quel est le cadre
00:19juridique ? On en parle tout de suite avec mes invités et on va commencer avec
00:24vous Frédéric pour essayer de prendre la mesure de la menace cyber. Alors aujourd'hui quel est
00:31l'état de la menace ? Alors l'état aujourd'hui tout le monde a entendu un petit peu parler
00:36des
00:36attaques cyber, des GFIP, les hôpitaux, les mairies, etc. On est sur une menace qui est quand même d'un
00:41niveau très haut. Vous disiez il y a quelques secondes que la menace s'intensifiait. Moi ça fait
00:47quelques années que je suis dans le milieu, ça s'intensifie tous les ans, depuis plus de 15 ans,
00:52depuis plus de 20 ans. Donc on est vraiment sur des plateaux qui sont à un niveau très haut,
00:56on est sur une menace qui est structurelle, c'est-à-dire que tant qu'on va utiliser du
00:59numérique, on aura des attaques cyber. Il va falloir nous protéger. Et on est sur une menace
01:04aussi qui est monétisée, c'est-à-dire qu'on n'est plus sur l'étudiant entre guillemets, même s
01:09'il
01:09revient. Là on l'a vu avec la DGFIP, peut-être avec la NTS, on n'est plus sur l
01:13'étudiant qui a envie
01:14de tester un petit peu, de faire un exploit, de se tester pour voir s'il est performant en matière
01:19d'attaques, ce genre de choses. On est sur des choses qui sont organisées, on a un marché du
01:25cybercrime, on est sur quelque chose qui est monétisé, qui rapporte beaucoup d'argent avec
01:30une segmentation. On a des vendeurs de malware, on a des vendeurs de données, on a des marqueteux,
01:36on a des personnes qui font de la documentation, on a des applications de cybercrime qui sont très
01:40bien faites.
01:40Est-ce qu'on peut dire qu'ils sont organisés comme une entreprise ?
01:44Est-ce que c'est une entreprise de crimes, les cybercriminels ? Est-ce qu'on peut dire qu'il
01:48y a
01:49différents départements selon la nature de l'attaque ?
01:51Alors, s'ils étaient constitués et homogènes, on pourrait le dire, maintenant on est plus
01:57sur des schémas de type un peu mafieux, crimes organisés, ce genre de choses, beaucoup plus
02:02lâches qu'une entreprise. Il n'y a pas une personne qui représente, en fin de compte,
02:07c'est plein de petites personnes qui travaillent pendant quelques temps ensemble, et puis
02:11après elles se voient moins, elles reviennent sur une opération, etc.
02:14Si on prend les entreprises, ça fait partie des cibles privilégiées ?
02:19Alors, aujourd'hui, on a deux types de menaces. On a les menaces qui sont ciblées et les menaces
02:23qui sont non ciblées. De toute façon, une entreprise qui a une présence sur Internet ou
02:27une personne, un particulier, peut être ciblée s'il a un smartphone, s'il a un ordinateur,
02:31s'il a une montre connectée, un Alexa, un assistant, etc. Et plus il a de matériel, plus il a
02:40de
02:40logiciels exposés, plus il peut subir de cybermenaces. Donc, parmi celles-là, on a effectivement
02:45les entreprises, les mairies, mais ce n'est pas parce qu'elles sont ciblées, c'est juste
02:48parce qu'elles sont là. Et ensuite, derrière, on a des États qui sont plus ciblés, généralement
02:52un peu plus fouillés, qui peuvent cibler en particulier une entreprise par rapport à
02:58un moyen, par rapport à, comment dire, soit pour un motif politique, soit pour un motif
03:02financier. Et là, c'est généralement plus conséquent. Ça se rapproche un petit peu plus, sans faire
03:07de parallèle absolu avec ce qu'on voit un peu dans les films.
03:08Est-ce que l'intelligence artificielle a amplifié ce phénomène, puisque ça devient
03:14peut-être plus facile pour les cybercriminels de diversifier les formes d'attaques, ou pas
03:20forcément ?
03:21Alors, l'IA a tendance à amplifier tout, donc il n'y a pas de raison que le cybercrime
03:25ne puisse pas en bénéficier, que ce soit également amplifié. Oui, bien sûr, il y a des choses
03:31qu'on peut faire avec l'IA beaucoup plus facilement. Ce qui prenait quelques minutes
03:34avant peut prendre quelques millisecondes. Ce qui prenait 3-4 jours avant pour dupliquer
03:39un malware et l'adapter à un contexte, ce genre de choses, peut prendre quelques minutes
03:43aujourd'hui. Mais d'un autre côté, on a aussi les mesures de protection qui utilisent
03:46l'IA, donc qui sont aussi plus performantes. Qui gagnera ? Ça, je ne sais pas.
03:50On verra ça dans le futur, effectivement. Est-ce que ça touche des entreprises de toute
03:56taille, ou c'est plutôt des attaques massives qui visent les grands groupes ou les grandes
04:00institutions ? On a parlé de la DGFIP en introduction.
04:04Non, aujourd'hui, c'est toute taille. C'est aussi bien la PME ou la TPE qui, comment dire,
04:11de 10 personnes que le grand compte. Ce qu'on voit quand même, néanmoins, c'est que la plupart
04:15des grands comptes sont bien protégés. On cite les grosses entreprises type Airbus,
04:19Thales, les banques, etc. Aujourd'hui, ils sont bien protégés. Et il vaut mieux attaquer
04:24leurs sous-traitants, qui se le font moins, plutôt que d'attaquer le bastion. Parce que
04:28grosso modo, il y a des RSSI, il y a des équipes, etc. La petite PME qui peut rentrer
04:32dans un grand compte, entre guillemets. Généralement, c'est une bonne cible.
04:37Alors, on a vu l'état des lieux de la menace. Sarah, on va s'intéresser maintenant
04:41aux aspects juridiques. Il y a un certain nombre de textes qui sont apparus ces dernières
04:47années. Pouvez-vous nous faire un peu le point sur le cadre juridique en la matière ?
04:52Oui, bien sûr. Alors, je vais vous citer quatre textes structurants, chacun avec sa logique,
04:56brièvement. Avant tout, RGPD, donc le Règlement général sur la protection des données. C'est
05:02un règlement qui ne s'occupe pas précisément de cybersécurité. Il couvre les données
05:06personnelles. Mais comme dans la plupart des cyberattaques, il y a toujours des données
05:10personnes qui sont impliquées. Il s'applique comme premier outil juridique dans la matière.
05:15Et il impose aussi des mesures de sécurité qui doivent être appropriées et mises en place
05:19par les entreprises qui traitent des données personnelles. Ensuite, on a NIS2, une directive,
05:24qui a changé la donne, effectivement, dans le cadre de la réglementation sur la cybersécurité.
05:30Pourquoi elle a changé la donne ?
05:31Parce que déjà, il a imposé des mesures qui doivent être prises au sein de l'entreprise
05:36en matière de risques cyber. Donc, il y a toute une série de politiques qui doivent
05:41être mises en place, des tests qui doivent être réalisés. Et aussi, elle a mis l'accent
05:47sur la responsabilisation et l'implication du board. Donc, le board, les dirigeants,
05:52doivent être formés à l'attaque au risque cyber. Ils ne doivent pas devenir des experts
05:57techniques, mais doivent pouvoir comprendre, effectivement, quels sont les enjeux et les
06:02risques. Et doivent être vraiment actifs dans la décision de la stratégie cyber et
06:08dans la surveillance de la mise en place.
06:10D'accord.
06:10Donc, il y a tout ça qui a quand même été vraiment un gros changement, surtout en termes
06:15d'application. On a NIS2 aujourd'hui, pas encore transposé en France, mais avec
06:19NIS1, qui était la première directive, on parlait d'une directive qui s'appliquait
06:23une centaine d'entités en France. Aujourd'hui, ça va toucher des milliers d'entités et
06:2718 secteurs différents qui sont identifiés dans les annexes.
06:30D'accord.
06:31Puis, on a DORA, qui est un règlement donc directement applicable, différemment de
06:36NIS2, qui est l'épandance sectorielle de NIS2. Il s'applique, DORA, aux institutions
06:41financières, en vingtaine de typologies, les banques, les assurances, les sociétés
06:47d'investissement, établissement de paiement, etc. Il est plus prescriptif que NIS2.
06:53Il y a des dispositions plus strictes en matière de gestion de risque et justement
06:58gestion aussi maîtrise de la sous-traitance, justement pour les considérations que vous
07:02faisiez, Frédéric, par rapport à la gestion de risque chez les sous-traitants également.
07:07Et une première DORA, le fait d'avoir introduit un registre que les entités, les
07:13entreprises doivent garder avec la liste de tous leurs contrats avec leurs prestataires
07:17TIC, pour donner la possibilité aux autorités européennes de garder un œil sur la sous-traitance
07:26des entités financières. Et ensuite, on a les CRA, dont on parle beaucoup depuis cette
07:30semaine parce que les obligations de notification sont entrées en vigueur lundi et qui imposent
07:36du coup des obligations de sécurité aux produits connectés, aux produits qui ont des composantes
07:41numériques mises sur le marché européen.
07:43On voit qu'il y a un cadre juridique qui est important. Est-ce que les entreprises
07:47ont les moyens de s'y retrouver face à cet empilement de textes ?
07:51Alors, c'est effectivement un vrai empilement. Ça, j'avoue, je reconnais également. Il y a
07:56quand même, je trouve, beaucoup de ressources de la part des institutions, justement de la
08:01part, par exemple, de l'ANSI. Il y a justement un référentiel Cyber France qui a été
08:07publié il y a quelques mois, qui est très utile, justement, une feuille de route pour
08:10commencer à se mettre en conformité, à se préparer à Nice 2. Il y a aussi mon espace
08:15Nice 2, qui est un site mis à disposition de la part de l'État, du gouvernement. Ça
08:20permet de comprendre si on rentre dans le scope d'application de Nice 2. Et ça permet
08:25aussi de comprendre qu'est-ce qu'on peut mettre en place. Il y a aussi d'autres ressources
08:30de la part de l'ENISA, qui est l'Autorité européenne pour la cybersécurité. Mais aussi,
08:35je voudrais ajouter qu'il y a un bon projet qui va aider dans ce sens, je pense, beaucoup
08:41les entreprises, qui est le Digital Omnibus. C'est un package de la Commission européenne
08:47qui a été publié et proposé en janvier 2026. Donc, il n'est pas encore totalement
08:53apprové, mais qui propose justement pour tout ce qui est notification de s'amplifier, avoir
08:58une seule plateforme qui permettra de notifier toutes les vulnérabilités et incidents qui
09:04sont nécessaires sous les différents règlements qu'on a cités.
09:08Bon, on va conclure cette partie là-dessus. On va enchaîner tout de suite avec notre
09:12débat et on va se demander si ce cadre juridique que vient de décrire Sarah est à la hauteur
09:17de la menace cyber.
09:18de la menace norme.
09:18C'est parti.
Commentaires