Droit de la cybersécurité

convention de Budapest du conseil de l'Europe relative à la cybercriminalité, adoptée le 23 novembre 2001
47 États parties du conseil, mais aussi des États tiers comme les États-Unis ou la Turquie

cette convention :

"ici ça va aller très vite, c'est des textes que vous connaissez"

directive police-justice, "je fais ma thèse là-dessus"

textes nationaux : "vous pouvez laisser un trou dans votre cours et juste copier-coller ce que vous avez déjà noté ailleurs" :

Code de la cybersécurité, "c'est un code éditeur, mais il est vachement bien"

La cybersec des OIV s'intègre dans une dispositif global de sécurité d'importance vitale inscrit dans le Code de la défense

les OIV sont tenus de renforcer la sécurité des SI qu'ils exploitent
ces règles sont énoncées dans les arts. L1332-6-1 à L1332-6-6 du Code de la défense
définition : système pour lequel l'atteinte à la sécurité ou au fonctionnement risquerait de diminuer de façon importante le potentiel de guerre ou économique la sécurité ou la capacité de survie de la nation ou pourrai présenter un danger grave pour la population, "on retrouve toujours la même formule"

1ère obligation : c'est aux OIV d'identifier les SSIV
l'ANSSI va prendre l'avis des ministres concernés et faire des observations à l'opérateur sur la liste qu'on lui a communiqué, et demander d'y ajouter ou de retirer d'autres SI=> l'opérateur sera tenu de suivre ces recommandations dans un délai de 2 mois
à l'inverse, si l'OIV décide d'ajouter ou supprimer un SI de la liste, il doit en informer l'ANSSI et préciser les raisons
dans tous les cas, l'OIV est tenu de renvoyer une liste tous les ans à l'ANSSI

2e obligation : les OIV vont devoir nommer un délégué pour la défense et la sécurité
son identité sera communiquée à l'ANSSI et au ministre compétent
ce délégué sera chargé de représenter l'OIV au sein de l'ANSSI, il sera habilité confidentiel-défense

3e catégorie d'obligation :
L1336-1 Code de la défense : charge le Premier ministre de fixer les règles de sécurité nécessaires à la sécurité des SIIV
charge les OIV de mettre en place à leur frais des systèmes de détection, en s'adressant à des prestataires ayant obtenu une qualification spécifique (Prestataire de détection d'incidents de sécurité), "en France on en a deux : Thales et Hub One"
"va analyser en temps réel de gros volumes de données afin de détecter les menaces potentielles et alerter au plus tôt les équipes chargées de protéger les SI"

le PM élabore les règles de cybersécurité en partenariat avec l'ANSSI, "elle intervient énormément pour élaborer ces règles de cybersécurité"
les règles de protection sont fixées par arrêté, ces derniers ne sont pas publiés

4e obligation : informer sans délai le ministre compétent des incidents qui affectent la sécurité des SI d'importance vitale
dans ce cadre, les OIV doivent mettre en place un SI spécifique pour stocker les données relatives aux analyses des incidents, ce système doit être cloisonné par rapport au SI concerné par l'incident
l'OIV doit aussi informer l'ANSSI (de manière confidentielle) qui l'aidera à faire face à cet incident

dernière catégorie d'obligation : les OIV vont faire l'objet de contrôles de conformité à la demande du PM
la charge de ces contrôles est supportée par l'opérateur lui-même
les sanctions sont prévues par l'art. L1332-7 Code de la défense : "pour les personnes morales, les amendes c'est ×5"

Selon la directive NIS et sa loi de transposition, les OSE sont les opérateurs publics ou privés :

aujourd'hui, il y a 300 OSE, "là encore la liste est tenue secrète"

régime contraignant dont le but est d'assurer une protection adéquate des SI sur lesquels repose la fourniture de ces services

1ère obligation : désigner un représentant auprès de l'ANSSI

comme pour les OIV :

comme pour les OIV, elles doivent mettre en œuvre les règles de sécurité recommandées par le PM à leurs frais
4 catégories définies par la directive NIS :

4e obligation : déclarer les incidents de sécurité, s'ils sont susceptibles d'avoir une incidence significative sur la continuité du service essentiel qu'ils fournissent

5e obligation : l'OSE doit se soumettre au contrôle, dont l'initiative relève du PM
si le PM veut organiser un contrôle, il va informer l'OSE au préalable en lui précisant les objectifs et le périmètre, et en fixant un délai de mise en conformité
un même réseau ou SI ne peut faire l'objet que d'un contrôle par an, "donc c'est plutôt cool", sauf dans 2 cas : présence d'un incident ou si le contrôle précédent a mis en lumière des manquements
sanctions : 100 000€ max si l'opérateur ne se conforme pas aux règles de sécurité, 75 000€ s'il ne déclare pas les incidents, 125 000€ s'il fait obstacle au contrôle

tous les FSN ne sont pas des FSN soumis à la directive NIS 1
en réalité, seuls 3 types de FSN sont concernés :

"on va retrouver les mêmes obligations, on va aller assez vite"

adoptée en même temps que 2 autres textes :

cette directive devait être transposée en octobre 2024 : la date est depuis repoussée, "ils le mettent sur le dos de l'instabilité de notre gouvernement actuel"
un projet de loi a été déposé le 15 octobre 2024, "vous pouvez aller le consulter"

but de la directive : augmenter le niveau de cybersec au sein des États membres de l'UE

avec la nouvelle directive NIS, on a 2 nouvelles catégories d'entités qui vont remplacer les OSE et les FSN : les entités essentielles et les entités importantes
pour que l'harmonisation soit effective, NIS 2 supprime le mécanisme de désignation des États : ils n'auront pas le choix de reconnaître certaines entités comme essentielles ou importantes
pour les entités importantes, 2 critères :

certaines entités échappent aux obligations de NIS 2 : les "micro ou petites entités"
définies par la directive = moins de 50 employés, ou moins de 10M€ de CA, ou bilan annuel inférieur à 5 M€
"vous comprenez que la NIS2 va concerner un très grand nombre d'entités" : en France, on estime passer de 500 (NIS1) à 15 000 entités (NIS2), et de 6 à 18 secteurs régulés
"c'est pour ça que la transposition soulève de gros enjeux"

échappent à NIS les domaines régaliens (défense, fiscal), qui dépendent de la souveraineté de l'État : ils restent sous le régime des OIV

on retrouve une logique de compliance ou d'approche par les risques : les entreprises sont invitées à adopter des mesures de gestion des incidents, etc.
NIS2 vient aussi préciser les modalités de communication et de déclaration d'incidents de cybersécurité : il faut obligatoirement déclarer les incidents importants

les procédures de contrôle sont "considérablement renforcées"
2 types de contrôle pour les entités essentielles

harmonisées au niveau européen :

attestation de la conformité et de la robustesse d'un produit
délivrée par un organisme tiers sous la surveillance d'une autorité publique

selon l'ANSSI, la certification repose sur une analyse de conformité ainsi que sur des tests de pénétration effectués selon un schéma et un référentiel adaptés au besoin de sécurité des utilisateurs en tenant compte des évolutions technologiques

l'UE a estimé qu'il était nécessaire d'avoir une approche commune et d'établir un cadre européen de certification de cybersécurité
ce cadre doit permettre la reconnaissance et l'utilisation dans tous les États membres de certificats de cybersécurité européens et de déclaration de conformité de l'UE pour les produits TIC, les services TIC ou les processus TIC

LCEN du 21 juin 2004, "ne la notez pas, vous la retrouverez dans le plan"
technique qui consiste :

art. 30 LCEN : "l'utilisation des moyens de cryptologie est libre"
le législateur indique que la fourniture, le transfert, l'importation et l'exportation des moyens de cryptologie qui assurent exclusivement des fonctions d'authentification ou de contrôle d'authenticité sont libres

"en principe, tout le monde peut avoir recours à la cryptologie, ou vivre de la cryptologie"
"cependant, on note aujourd'hui une pénalisation croissante du recours au chiffrement" :

infractions qui portent atteinte aux STAD : arts. 323-1 et suiv. CP
crées en 1988 mais le législateur en a rajouté régulièrement

"avant d'étudier ces infractions, il faut savoir si on a bien affaire à un STAD" : le Code pénal ne le définit pas
proposition de définition dans la loi de 1988, "ne la notez pas elle est dans le plan"

soit on mobilise les infractions qui existent déjà pour les appliquer à la sphère numérique soit on va aggraver la peine encourue en raison de l'utilisation du numérique