À l’approche de 2025, plusieurs évolutions majeures en matière de cybersécurité se dessinent, et les entreprises doivent se préparer à des changements législatifs importants. L’Union européenne (UE) continue de renforcer ses efforts pour améliorer la cybersécurité, avec de nouvelles législations et des actions concrètes contre les États membres qui ne respectent pas leurs obligations.
-
Acte de Résilience Cybernétique de l’UE (CRA)
Ce règlement, entré en vigueur le 10 décembre 2024, impose des exigences strictes concernant la cybersécurité et la gestion des vulnérabilités pour les produits connectés (logiciels et matériels). Les entreprises doivent notamment :
- Garantir un support continu en matière de sécurité pour leurs produits connectés.
- Signaler les vulnérabilités dans les 24 heures aux autorités compétentes.
- Assurer la conformité avant la commercialisation des produits dans l’UE.
Les obligations liées au CRA seront pleinement appliquées à partir de 2026 pour le reporting des incidents et 2027 pour les exigences de cybersécurité des produits.
-
Directive révisée sur la Responsabilité des Produits (rPLD)
Depuis le 8 décembre 2024, cette directive étend la responsabilité civile aux produits numériques, y compris les logiciels et les systèmes d’intelligence artificielle. Elle simplifie les recours pour les victimes de produits défectueux. Les fabricants de logiciels devront être particulièrement vigilants, car les droits des consommateurs pourraient être étendus pour inclure des recours collectifs.
-
Acte de Solidarité Cybernétique de l’UE (CSA)
Voté en décembre 2024, ce texte vise à améliorer la réponse de l’UE face aux menaces cybernétiques. Il établit un réseau européen de « centres cyber », met en place un mécanisme d’urgence pour les incidents de cybersécurité, et propose une réserve de services de sécurité pouvant intervenir en cas de crise.
-
Acte révisé sur la Cybersécurité de l’UE (rCA)
Adopté en décembre 2024, il concerne principalement les prestataires de services de sécurité gérés. Ces derniers devront se certifier pour garantir un niveau de sécurité conforme aux nouvelles normes européennes.
-
Directive NIS2
Les États membres de l’UE devaient adopter la directive NIS2 d’ici octobre 2024, mais plusieurs sont en retard. La Commission européenne a lancé des procédures d’infraction. D’ici le 17 janvier 2025, les fournisseurs de services numériques doivent s’enregistrer auprès des autorités compétentes de l’UE. Ces exigences pourraient avoir un impact significatif sur les entreprises du secteur numérique.
-
Acte sur la Résilience Opérationnelle Numérique (DORA)
Ce règlement, qui entrera en vigueur le 17 janvier 2025, concerne les institutions financières et leurs fournisseurs de services TIC. Les entreprises devront mettre en place des mesures de cybersécurité renforcées, avec des exigences spécifiques pour les prestataires critiques.
Actions à envisager pour 2025 : Les entreprises opérant dans l’UE, qu’elles soient basées à l’intérieur ou à l’extérieur de l’UE, doivent rapidement évaluer leurs pratiques de cybersécurité à la lumière de ces nouvelles législations. Il est essentiel de :
- Identifier les nouvelles obligations légales qui s’appliquent à leurs produits et services.
- Vérifier la compatibilité de ces nouvelles règles avec les autres cadres réglementaires déjà en place.
- Effectuer une analyse des écarts pour mettre en place les mesures nécessaires à leur conformité.
Les autorités européennes continueront de surveiller de près la mise en œuvre de ces règles, et la conformité sera essentielle pour éviter des sanctions. En 2025, il sera crucial pour les entreprises de renforcer leur résilience face aux menaces cybernétiques en intégrant ces nouvelles exigences dans leur stratégie globale de sécurité.
Source : Les News