Ransomware : la réglementation NIS 2 et le chemin vers la reprise — 1re partie

Un guide pratique en deux parties destiné aux responsables informatiques de la région EMEA

Dans le monde interconnecté d'aujourd'hui, une panne au sein d'une entreprise peut compromettre la fourniture de services essentiels à l'échelle nationale, voire avoir des répercussions sur l'économie dans son ensemble, comme l'a démontré la cyberattaque subie par Jaguar Land Rover, qui a eu un impact négatif sur le PIB du Royaume-Uni.

La NIS2 repose avant tout sur la volonté d'assurer la continuité des activités. Elle encourage les entreprises à documenter correctement leurs processus, à se préparer aux imprévus et à identifier les faiblesses de leurs chaînes d'approvisionnement.

Il est important de noter que la directive NIS2 fait de la cybersécurité et de la résilience une responsabilité du conseil d'administration, avec des sanctions potentielles pour les dirigeants d'entreprise. En d'autres termes, il ne suffit plus de confier la sécurité uniquement au service informatique.

Dans cette optique, le renforcement de votre capacité à réagir aux incidents de sécurité — et, surtout, à vous en remettre — doit constituer un élément central de la stratégie de sécurité de toute entreprise.

Dans la première partie de ce guide, nous examinerons votre état de préparation interne. Ensuite, dans la deuxième partie, nous aborderons la manière de répondre aux différentes obligations réglementaires en matière de déclaration en cas d'incident.

« Les ransomwares constituent la plus grande menace en ligne pour les entreprises. »

Ce ne sont pas nos propos. Cette déclaration émane du Centre de cybersécurité de Belgique, qui a indiqué que les attaques par ransomware avaient plus que doublé entre 2021 et 2024.

Les ransomwares restent l’une des formes de cyberattaques les plus perturbatrices : ils paralysent vos systèmes et perturbent votre activité tant qu’une rançon n’est pas versée. Même si votre entreprise venait à payer, la restauration de vos données n’est pas garantie. Toutes les attaques ne sont toutefois pas nécessairement destructrices. Une fuite de données, par exemple, n’aura peut-être pas d’incidence sur votre capacité à poursuivre vos activités normalement, mais l’atteinte à votre réputation et les sanctions financières potentielles peuvent avoir des conséquences importantes à long terme.

La réalité, c'est que, quel que soit le niveau de sécurisation de votre entreprise, il subsiste toujours un certain degré de risque — et ce risque est présent 24 heures sur 24, 7 jours sur 7 et 365 jours par an, même lorsque votre équipe n'est pas connectée.

Mettez en place votre plan de reprise — et assurez-vous qu’il fonctionne

Dans notre guide intitulé « Maîtriser la reprise après sinistre moderne : les nouveaux incontournables pour les responsables informatiques », nous abordons les trois principes fondamentaux de la planification de la reprise après sinistre :

• Évaluer les risques et identifier les systèmes critiques. Une évaluation approfondie des risques permet d'identifier les systèmes les plus critiques qui nécessitent une attention immédiate en cas de catastrophe et de les classer par ordre de priorité en fonction de leur importance pour les activités de l'entreprise.
• Élaborez un plan de reprise d'activité étape par étape. Mettez au point des procédures de reprise d'activité pour différents scénarios de sinistre, notamment les cyberattaques, les catastrophes naturelles ou les pannes matérielles. Chaque scénario doit s'accompagner d'un plan de reprise d'activité clair et détaillé, étape par étape, avec une répartition précise des responsabilités.
• **Tester et mettre à jour le plan.** L'efficacité d'un plan de reprise dépend entièrement de sa mise en œuvre. Il est essentiel de procéder régulièrement à des tests, à des mises à jour et à des audits pour garantir sa viabilité à long terme et s'adapter à l'évolution des menaces, des technologies et des changements d'infrastructure.

La bonne nouvelle, c'est que toute personne adoptant cette approche est déjà bien placée pour répondre à certaines exigences de la directive NIS 2, telles que l'analyse des risques et la sécurité de l'information, la gestion des incidents et les mesures de continuité d'activité.

Si vous avez du mal à obtenir l'adhésion de la direction, aligner vos objectifs informatiques sur ceux de la directive NIS2 est un bon moyen de souligner l'importance d'une planification adéquate de la reprise après sinistre.

Les sauvegardes constituent un élément essentiel de la conformité à la norme NIS2

L'approche largement admise en matière de stratégie de sauvegarde suit traditionnellement la règle du 3-2-1 :

• 3 copies des données (pour se prémunir contre toute perte de données)
• 2 formats différents (enregistrés sur au moins deux types de supports)
• 1 copie hors site (pour se prémunir contre les sinistres physiques)

Cependant, il est désormais recommandé d'ajouter deux mesures supplémentaires pour garantir une véritable efficacité de la sauvegarde :

• 1 copie immuable (garantissant des sauvegardes à l'abri des ransomwares)
• Il ne fait aucun doute que vous pourrez récupérer vos données (des tests réguliers garantissent la fiabilité)

L'importance des sauvegardes immuables a été clairement mise en évidence en avril 2026, lorsqu'un agent d'IA a non seulement supprimé l'intégralité de la base de données clients d'une entreprise, mais également ses sauvegardes récentes, ce qui a perturbé les clients pendant plusieurs jours et a fait la une de la presse internationale.

Cela montre à quel point il est primordial de bien faire les choses : c'est une question de continuité des activités, de conformité réglementaire… et cela permet d'éviter que votre entreprise ne fasse la une des journaux.

Renforcer la confiance dans la reprise

La directive NIS2 insiste sur la nécessité de mettre en place des politiques permettant d'évaluer l'efficacité opérationnelle. Il ne suffit pas de disposer de sauvegardes. Vous devez être certain de votre capacité à restaurer vos systèmes et à remettre rapidement votre entreprise en service.

Même s'il est recommandé d'effectuer régulièrement des tests de reprise après sinistre, vous pouvez compléter ces derniers à l'aide d'outils permettant de tester automatiquement les sauvegardes.

Lorsqu'elles sont surveillées et font l'objet de rapports parallèlement à des indicateurs tels que le RPO et le RTO, ces fonctionnalités renforcent la confiance dans votre stratégie de sauvegarde et permettent également de démontrer que le niveau requis en matière de reporting est respecté.

Ne sauvegardez pas de données erronées

Le risque qu’un ransomware s’introduise dans vos sauvegardes est préoccupant. Il est également important de s’assurer de l’intégrité des données que vous sauvegardez.

Dans le cadre de l'automatisation de vos sauvegardes, vous pouvez recourir à l'apprentissage automatique pour identifier les comportements révélateurs d'une infection par un rançongiciel. En exécutant et en analysant en continu chaque sauvegarde, ce système permet de détecter les sauvegardes infectées et de résoudre le problème avant qu'il ne prenne de l'ampleur.

Assurez-vous que vos sauvegardes sont adaptées à votre région

Vos données ne sont pas accessibles partout. Les lois en matière de souveraineté varient d’une région à l’autre ; il est donc important de savoir où sont stockées vos sauvegardes et si elles peuvent être restaurées en toute légalité depuis ce territoire. Les réglementations telles que le RGPD continuent de s’appliquer lors des opérations de restauration ; il est donc essentiel de vous assurer que les outils que vous utilisez et l’emplacement de vos données restent conformes à ces dispositions.

Respecter vos obligations réglementaires

Kaseya offre aux entreprises une tranquillité d'esprit en garantissant que leurs précieuses données sont sécurisées, conformes aux réglementations et, surtout, récupérables. Consultez notre guide pour maîtriser les techniques modernes de récupération et en savoir plus sur la mise en place d'une stratégie de récupération résiliente.

Mais la planification de la reprise après sinistre ne représente qu’une partie du problème. Lors d’un incident de sécurité, les organisations doivent également se conformer à leurs obligations légales et réglementaires en matière de déclaration. Dans la deuxième partie, nous aborderons en détail la directive NIS 2 et le RGPD, ainsi que les différentes exigences en matière de déclaration dans la région EMEA.