Face aux cyberattaques dopées à l’IA, attendre NIS 2 est devenu un pari risqué
L’Europe se trouve à un tournant décisif. Alors que l’intelligence artificielle générative transforme la productivité des entreprises, elle redéfinit également les outils des cybercriminels. L’IA permet d’automatiser et d’adapter les menaces en temps réel, à une échelle industrielle. La directive européenne NIS 2 a été conçue comme un bouclier numérique pour l’Europe. Cependant, la France accuse un retard significatif dans sa transposition, ce qui pourrait amener la Commission européenne à envisager des poursuites judiciaires dans les mois à venir. La date limite fixée par l’Europe pour cette transposition était le 17 octobre 2024, mais à ce jour, la directive n’est pas encore intégralement appliquée dans le droit français.
Le mirage du décret et l’avertissement de l’ANSSI
Face à ce flou, de nombreuses organisations se questionnent sur le calendrier de la transposition de NIS 2 et sur le moment où elles doivent agir pour se conformer. Une approche attentiste est particulièrement risquée, car des milliers d’entités françaises seront concernées, selon les estimations de l’ANSSI. L’agence insiste sur le fait que cette période d’attente ne doit pas justifier l’inaction. Pour anticiper les exigences de la directive, l’ANSSI a publié le Référentiel Cyber Français (ReCyF) le 17 mars 2024, détaillant les mes recommandées pour atteindre les objectifs de sécurité. Les entreprises qui attendent le décret final pourraient se retrouver sans solutions et exposées à des sanctions dès l’entrée en vigueur de la directive.
L’IA attaque plus vite que les calendriers réglementaires
Le décalage entre le rythme législatif et l’évolution des menaces cyber est une limite majeure de l’approche attentiste. Les cybercriminels n’attendent pas la publication des textes officiels pour agir. L’intelligence artificielle permet de développer des malwares polymorphes capables de modifier leur comportement pour échapper aux systèmes de détection, tout en identifiant rapidement les vulnérabilités dans les chaînes d’approvisionnement. Dans ce contexte, retarder l’évaluation de la sécurité de ses systèmes d’information revient à offrir une opportunité aux cybercriminels, alors que le temps nécessaire pour une compromission peut désormais se compter en minutes.
Le réseau, première ligne de défense face aux menaces intelligentes
Avec l’essor du Cloud, de l’IoT et du travail hybride, le périmètre de sécurité des entreprises est devenu flou. Les données circulent dans un écosystème numérique globalisé, rendant l’attentisme réglementaire d’autant plus critique. La mise en conformité exigée par NIS 2 concernant la sécurisation des flux ne peut pas s’improviser. Pour contrer une IA capable d’attaquer plusieurs vecteurs simultanément, la sécurité doit être intégrée au cœur des réseaux. Les entreprises doivent dès maintenant entamer la convergence de leur connectivité et de leur cybersécurité. Une architecture réseau moderne et unifiée, offrant une visibilité complète sur tous les flux numériques, est essentielle pour détecter rapidement les anomalies générées par l’IA avant qu’elles n’affectent les opérations.
Le temps est devenu la principale vulnérabilité
La conformité exigée par l’Europe ne peut être mise en place du jour au lendemain. Lorsque la réglementation sera finalement adoptée, le marché de la cybersécurité ne sera pas en me de répondre à la demande soudaine des nombreuses entités en retard, ce qui entraînera une pénurie d’experts et une hausse des coûts d’intégration. Dans la cyberguerre asymétrique à venir, l’IA a donné aux attaquants un avantage de vitesse. Attendre le dernier texte de loi pour construire des infrastructures résilientes, c’est choisir la paralysie. Face à l’IA, le temps perdu est un actif que l’on ne peut ni restaurer ni racheter.
Source : ANSSI, Commission européenne.
