Les éditeurs soumis aux obligations de cybersécurité prévues par NIS2

Mais ça, c’était avant… Suite au débat des députés de la commission spéciale, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat les mardi 9 et mercredi 10 septembre, après engagement de la procédure accélérée. Même si un certain nombre de modifications concernant la transposition de NIS2 et de DORA ont été apportées par les parlementaires, près de 250 amendements ont été adoptés sur ce texte. Et il y en un majeur qui concerne les éditeurs de logiciels, maillon essentiel de la chaîne d’approvisionnement numérique. Ils sont désormais eux aussi soumis aux obligations de cybersécurité prévues par la directive NIS2.

Cette décision est liée au fait que les établissements de santé et les établissements médico-sociaux sont aujourd’hui considérés comme entités essentielles, donc des entités critiques. Ils étaient jusqu’à présent, laissés seuls en première ligne, exposés à des cyberattaques massives et à la paralysie de leurs systèmes d’information. Les Responsables Sécurité ou les Directeurs des Systèmes d'Information du secteur de la santé n’avaient alors aucun levier face à des pratiques trop souvent incontrôlées des éditeurs. En effet, avant cet amendement, rien n’imposait à un éditeur, de déployer, en tout cas rapidement, les correctifs nécessaires, lorsqu’une vulnérabilité, à-même de paralyser des systèmes critiques, était découverte rapport à son logiciel implémenté dans un établissement de santé (ou tout autres organisations). Ce nouvel amendement permettra de leur imposer des exigences minimales de sécurité dès la conception et le développement de leurs produits, une obligation de corriger rapidement les vulnérabilités découvertes, mais aussi de prévoir une capacité d’intervention et de contrôle par l’ANSSI.

Suivre ce lien sur le site de l’Assemblée Nationale pour connaitre l’évolution du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.