A l’occasion de la 26ème édition des Assises de la cybersécurité, Board of Cyber a publié un panorama sur la maturité des entreprises françaises en matière de cybersécurité. Celui-ci couvre plus de 21.000 entités françaises susceptibles d’entrer dans le champ de la directive européenne NIS2, secteur par secteur. Il en ressort que le secteur du numérique est paradoxalement le moins mature sur la question.

L’étude est établie sur les 18 secteurs concernés par NIS2. La banque (60,2% d’entités de maturité avancée), les infrastructures des marchés financiers (57,9%), la santé (46,3%) et l’énergie (43,5%) affichent les niveaux de maturité les plus élevés.

Le socle numérique commun à toutes les organisations (hébergeurs, éditeurs, intégrateurs, opérateurs) affiche un niveau de maturité en retrait par rapport aux secteurs qu’il sert. Là où les autres secteurs présentent, pour l’essentiel, un seul chantier prioritaire, le socle numérique en cumule trois : la surface d’attaque (40,2% d’entités classées en D ou E), les vulnérabilités (38,1%) et la messagerie (31,1%). Autrement dit, ce secteur concentre 81,1% des entités en maturité basique et 65,4% des vulnérabilités critiques du panorama. Or, c’est précisément ce socle que vise l’obligation de maîtrise des risques tiers de l’article 21 de NIS2.  

« Le Panorama NIS2 montre que les secteurs soumis de longue date à une réglementation de cybersécurité, la banque en tête, atteignent un niveau élevé et homogène, la preuve qu’une réglementation appliquée dans la durée produit des résultats mesurables. Toutefois, si les secteurs déjà réglementés ont appris à limiter les expositions sur Internet, ils ne corrigent pas davantage que les autres leurs vulnérabilités les plus critiques », commente Sylvain Lefeuvre, directeur général adjoint de Board of Cyber. « Quant au secteur du numérique, il illustre le fait que la majorité du risque le plus sévère observé à l’échelle nationale ne se trouve pas chez les secteurs finaux — santé, énergie, industrie — mais chez les prestataires qui les équipent ».

« Un fournisseur commun moins bien sécurisé fragilise, par ricochet, l’ensemble de ses clients », rappelle Bord of Cyber. « Les acteurs du numérique forment cette clé de voûte sur laquelle reposent, directement ou indirectement, les quinze autres secteurs du panorama. Sa posture de sécurité ne se répercute pas seulement sur ses propres clients directs, elle se propage, par effet de chaîne, jusqu’aux utilisateurs finaux des services que ces clients opèrent ».

Méthodologie

Le Panorama NIS2 de Board of Cyber restitue la posture de sécurité externe des organisations, dans une perspective d’attaquant extérieur, sous forme d’un score global de 0 à 1.000 et de niveaux de maturité de A pour le plus élevé à E pour le moins élevé, sur quatre axes d’analyse : surface d’attaque, messagerie, web TLS/SSL et vulnérabilités. Le score global classe le niveau de maturité en trois catégories : « basique » (de 0 à 500), « intermédiaire » (de 501 à 750), « avancée » (751 à 1.000).

Nos lecteurs ont lu ensuite