Qui devrait lire ceci: les opérateurs de télécommunications, les exploitants de réseaux, les équipes de sécurité des communications, les responsables de la conformité.
La directive NIS2 place le chiffrement au cœur de la stratégie de cybersécurité des infrastructures critiques européennes. Pour les fournisseurs de télécommunications et les services de communications électroniques accessibles au public, le chiffrement n’est plus facultatif: il s’agit d’une exigence de sécurité fondamentale. Mais l’approche du chiffrement dans la directive est nuancée. Plutôt que d’imposer un mandat général, elle reconnaît que les technologies de chiffrement protègent des éléments différents et fonctionnent à différentes couches de l’infrastructure réseau. Cet article décrypte la façon dont NIS2 traite le chiffrement, à quel moment il devient obligatoire, et pourquoi même ceux qui ne sont pas soumis à des exigences directes devraient le considérer comme essentiel.
L’Union européenne reconnaît depuis longtemps le chiffrement comme une pierre angulaire des droits numériques et de la sécurité. La directive NIS2 renforce cette position à travers le considérant 98, qui souligne que «l’utilisation des technologies de chiffrement, en particulier le chiffrement de bout en bout, ainsi que les concepts de sécurité centrés sur les données, tels que la cartographie, la segmentation, l’étiquetage, la politique d’accès et la gestion des accès, ainsi que les décisions d’accès automatisées, devrait être encouragée». Cette formulation est délibérée. Le chiffrement n’est pas présenté comme un détail technique à déléguer aux ingénieurs, mais comme une priorité politique reflétant l’engagement de l’Europe en faveur de la sécurité et de la vie privée.
Pour les fournisseurs de réseaux publics de communications électroniques et de services de communications électroniques accessibles au public, une catégorie qui inclut la plupart des opérateurs de télécommunications et les principaux fournisseurs d’accès à Internet, NIS2 adopte une position conditionnelle mais ferme. La directive indique que «lorsque cela est nécessaire, l’utilisation du chiffrement, en particulier du chiffrement de bout en bout, devrait être obligatoire». Cela crée un spectre d’obligations. L’expression «lorsque cela est nécessaire» laisse aux régulateurs et aux autorités compétentes une flexibilité pour évaluer le contexte, le paysage des menaces et la faisabilité technique. Mais l’attente par défaut est claire: le chiffrement est la base, pas l’exception.
Quand le chiffrement devient-il obligatoire?
Le cadre NIS2 ne prescrit pas un moment unique à partir duquel le chiffrement passe de facultatif à obligatoire. Les autorités compétentes de chaque État membre formuleront plutôt des jugements proportionnés en fonction des services proposés, de la sensibilité des données concernées et du risque de préjudice si les communications sont interceptées ou modifiées. Pour un grand opérateur de réseau mobile traitant les données personnelles et les communications de millions d’utilisateurs, le seuil de «nécessité» est extraordinairement bas. Pour un fournisseur d’accès à Internet plus petit desservant un marché régional, l’évaluation peut différer, même si la présomption demeure que le chiffrement est nécessaire.
Plusieurs facteurs poussent la plupart des services de télécommunications vers le chiffrement obligatoire. Premièrement, les télécommunications transportent par définition des données personnelles sensibles. Les appels, les messages et le trafic en ligne révèlent des détails intimes de la vie des gens: informations médicales, données financières, communications familiales. Le chiffrement de bout en bout garantit que même le fournisseur de services ne peut pas accéder à ces données. Ce double avantage (protéger les utilisateurs et protéger le fournisseur de toute responsabilité) rend le chiffrement pratiquement obligatoire pour tout service traitant ce type de contenu.
Deuxièmement, la directive reconnaît que le chiffrement doit être concilié avec les pouvoirs légitimes des autorités répressives et de la sécurité nationale. Le considérant 98 précise explicitement que «l’utilisation du chiffrement de bout en bout devrait être conciliée avec les pouvoirs des États membres pour assurer la protection de leurs intérêts essentiels de sécurité et de la sécurité publique, et pour permettre la prévention, l’enquête, la détection et la poursuite des infractions pénales conformément au droit de l’Union». Il ne s’agit pas d’une faille qui affaiblit le chiffrement. Cela reconnaît plutôt que les technologies de chiffrement et les autorités étatiques opèrent dans le même écosystème réglementaire. La réserve essentielle de la directive est que cette conciliation «ne devrait pas affaiblir le chiffrement de bout en bout, qui est une technologie critique pour la protection effective des données, de la vie privée et de la sécurité des communications». Le chiffrement reste solide; c’est le cadre juridique qui l’entoure qui doit s’adapter.
Au-delà du chiffrement: les concepts de sécurité centrés sur les données
De nombreuses organisations réduisent le chiffrement à une seule technologie, généralement TLS pour le trafic web ou IPsec pour les réseaux. NIS2 adopte une vision plus large. Le considérant 98 mentionne «les concepts de sécurité centrés sur les données, tels que la cartographie, la segmentation, l’étiquetage, la politique d’accès et la gestion des accès, ainsi que les décisions d’accès automatisées». Ces termes décrivent des modèles architecturaux qui fonctionnent en complément du chiffrement.
La cartographie consiste à cartographier les flux de données et à comprendre où réside l’information sensible au sein de vos systèmes. La segmentation consiste à diviser votre réseau de sorte qu’une compromission dans une zone ne puisse pas automatiquement se propager à toutes les autres. L’étiquetage applique des métadonnées aux données afin que les systèmes puissent appliquer des règles en fonction de la sensibilité ou des exigences réglementaires. La politique et la gestion des accès définissent qui peut atteindre quelles données et dans quelles conditions. Les décisions d’accès automatisées étendent ce principe aux machines qui prennent en temps réel des décisions sur l’autorisation d’une transaction en fonction de la politique.
Ensemble, ces éléments créent une défense en profondeur. Le chiffrement sécurise les données en transit et au repos. Les concepts centrés sur les données garantissent que même si un attaquant pénètre votre périmètre, il doit franchir plusieurs couches de contrôle avant d’accéder aux informations sensibles. Pour les opérateurs de télécommunications, cela signifie superposer le chiffrement de bout en bout avec des contrôles internes qui empêchent votre propre personnel d’exploitation d’accéder de manière désinvolte aux communications des utilisateurs, ainsi que des systèmes qui signalent les schémas d’accès anormaux en temps réel.
Mise en œuvre dans l’infrastructure des télécommunications
La directive reconnaît que tous les services ne sont pas identiques et que le chiffrement ne doit pas être appliqué partout de la même manière. Toutefois, l’attente est que les fournisseurs évaluent leurs services et appliquent le chiffrement là où il protège les communications ou les données contre tout accès non autorisé.
Pour les services destinés aux consommateurs (réseaux mobiles, haut débit fixe, courrier électronique), le mandat est le plus fort. Ces services traitent par définition des communications et des données personnelles. Le chiffrement devrait être la valeur par défaut. Cela inclut à la fois le chiffrement entre les appareils des utilisateurs et l’infrastructure du fournisseur (sécurité de transport) et, lorsque cela est techniquement et commercialement faisable, le chiffrement de bout en bout pour les services sensibles tels que la messagerie ou les appels vocaux.
Pour les services aux entreprises et la connectivité d’entreprise, la situation est plus complexe. Certains clients entreprises disposent de leur propre infrastructure de sécurité et peuvent ne pas vouloir d’un chiffrement imposé par le fournisseur s’il empêche leur propre supervision de sécurité. Cependant, NIS2 exige que les entités appliquent des «mesures de gestion des risques de cybersécurité» proportionnées aux risques. Pour la plupart des entreprises, accepter le chiffrement du fournisseur de télécommunications renforce plutôt qu’il n’affaiblit leur posture globale, à condition qu’elles contrôlent les clés de chiffrement.
Pour les opérations de réseau et les interconnexions entre fournisseurs, le chiffrement protège l’épine dorsale d’Internet contre les interférences, les écoutes ou les manipulations. Le routage sécurisé et les canaux de contrôle chiffrés sont fondamentaux. L’accent mis par la directive sur la promotion de «normes de routage sécurisées» dans le considérant 99 confirme que les opérateurs devraient traiter l’infrastructure des opérations de réseau elle-même comme un domaine de sécurité sensible.
Le chiffrement et l’écosystème de sécurité au sens large
Le chiffrement n’est pas une solution miracle. Son efficacité dépend d’une gestion appropriée des clés, de mises à jour logicielles régulières pour combler les vulnérabilités des bibliothèques cryptographiques, et de la suppression systématique des algorithmes cryptographiques faibles. Le cadre plus large de NIS2, qui comprend les obligations de notification des incidents, la divulgation des vulnérabilités et les évaluations des risques de sécurité, crée la structure de gouvernance qui donne tout son sens au chiffrement.
Par exemple, si un opérateur de télécommunications déploie un chiffrement robuste mais ne corrige pas les vulnérabilités connues dans son logiciel de chiffrement, le chiffrement devient un faux sentiment de sécurité. Inversement, si un fournisseur met en œuvre une correction continue mais utilise des algorithmes de chiffrement obsolètes et faibles, la conformité réglementaire devient purement symbolique. NIS2 aborde ce point en exigeant que les entités gèrent les risques de cybersécurité de manière globale, et non comme des contrôles isolés.
Le chiffrement nécessite également de la transparence envers les utilisateurs. Lorsque vous chiffrez les communications des utilisateurs, ceux-ci doivent comprendre ce qui est chiffré, ce qui ne l’est pas, qui détient les clés de chiffrement et ce qui se passe en cas de perte des clés. C’est pourquoi le considérant 104 exige que «les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public mettent en œuvre la sécurité dès la conception et par défaut, et informent les destinataires de leurs services des cybermenaces importantes et des mesures qu’ils peuvent prendre pour protéger la sécurité de leurs appareils et de leurs communications, par exemple en utilisant des types spécifiques de logiciels ou de technologies de chiffrement». Le chiffrement est plus puissant lorsque les utilisateurs le comprennent et peuvent faire des choix éclairés concernant leurs communications.
Se préparer au chiffrement sous NIS2
Si vous êtes un opérateur de télécommunications ou si vous exploitez un service de communications, les obligations de chiffrement de NIS2 devraient déjà figurer dans votre feuille de route. La question n’est pas de savoir s’il faut chiffrer, mais comment le faire de manière proportionnée, économique et en équilibrant sécurité, expérience utilisateur et exigences commerciales.
Commencez par cartographier les flux de données sensibles à travers votre infrastructure. Identifiez les services pour lesquels une interception ou une modification causerait un préjudice, tant pour vos utilisateurs que pour votre profil de responsabilité. Travaillez tôt avec vos régulateurs; de nombreuses autorités compétentes publieront des orientations sur ce qu’elles considèrent comme un chiffrement «nécessaire» pour différentes catégories de services. Cela évite le scénario coûteux de déployer une architecture de chiffrement pour se voir ensuite signifier qu’elle est insuffisante.
Investissez dans la gestion des clés. Le chiffrement n’est aussi solide que le processus qui génère, stocke, fait tourner et détruit les clés de chiffrement. Une mauvaise gestion des clés est une cause fréquente d’échec du chiffrement. De même, mettez en place des processus pour retirer les algorithmes cryptographiques faibles et passer à des algorithmes plus robustes à mesure que les menaces évoluent et que les normes changent.
Enfin, traitez le chiffrement comme faisant partie d’une culture de sécurité plus large. Formez le personnel sur les raisons pour lesquelles le chiffrement est important, sur la manière dont il est mis en œuvre et sur ce qui se passe lorsqu’il échoue. Intégrez le chiffrement dans les exercices de réponse aux incidents. Veillez à ce que les processus de divulgation des vulnérabilités couvrent les bibliothèques cryptographiques. Le chiffrement est un contrôle technique, mais il s’inscrit dans la pratique organisationnelle.
Points clés à retenir
- NIS2 exige que les fournisseurs de réseaux publics de communications électroniques et de services de communications accessibles au public utilisent le chiffrement, en particulier le chiffrement de bout en bout, «lorsque cela est nécessaire», comme déterminé par les autorités compétentes.
- Le chiffrement doit être obligatoire en pratique pour la plupart des services de télécommunications grand public et professionnels, car les données qu’ils transportent (communications personnelles, informations financières, données de santé) sont par nature sensibles.
- NIS2 reconnaît qu’un chiffrement robuste peut coexister avec les pouvoirs des autorités répressives et de la sécurité nationale, à condition que le chiffrement lui-même ne soit pas affaibli; c’est le cadre juridique et réglementaire qui s’adapte.
- Au-delà des algorithmes de chiffrement, la directive met l’accent sur les concepts de sécurité centrés sur les données: cartographie, segmentation, étiquetage, politique d’accès et décisions d’accès automatisées.
- Le chiffrement n’est efficace que lorsqu’il est associé à une gestion robuste des clés, à des correctifs logiciels en temps opportun, à la sensibilisation des utilisateurs et à l’intégration dans le programme plus large de gestion des risques de sécurité.
