DSwiss à la une : NIS2, CRA et AI : les nouvelles règles de cybersécurité

Le CEO de DSwiss, Alexander Sommer, a récemment été interviewé par IT Business (it-business.de), l'une des principales publications allemandes destinées aux décideurs informatiques. Dans cette interview, menée par le rédacteur en chef Stefan Riedl, Sommer partage son point de vue sur ce qu'il faut faire pour faire face aux pressions convergentes actuelles liées à la réglementation et aux cybermenaces induites par l'IA, et sur ce que les organisations doivent faire dès maintenant pour garder une longueur d'avance.

Clarté et contrôle des nouveaux outils

La NIS2 et la Cyber Resilience Act (CRA) étant désormais à l'ordre du jour, Sommer soutient que 2026 devrait être consacrée moins à l'achat de nouveaux outils qu'à la reprise de la clarté et du contrôle. La plupart des environnements informatiques se sont développés de manière organique au fil du temps, accumulant des services cloud, des exceptions et des comptes d'administrateur fictifs, laissant les systèmes optimisés en termes de rapidité, mais fragiles en cas de stress. Son point de départ : un inventaire honnête de ce que vous exploitez réellement, de ce qui est réellement essentiel et des risques réels.

Trois priorités concrètes pour 2026

À partir de là, Sommer décrit trois domaines d'intérêt immédiats : un inventaire des actifs et des données à jour et réaliste ; un nettoyage des identités et des autorisations afin de réduire les voies d'attaque les plus fréquemment exploitées ; et une capacité de préparation aux incidents qui fonctionne dans la pratique, avec une journalisation utilisable, des chemins d'escalade clairs et des procédures de restauration testées. Son message est clair : les régulateurs pénalisent de plus en plus la bonne documentation associée à une exécution médiocre. Ce qui compte, ce sont les capacités opérationnelles démontrables.

L'IA change la donne en matière de cybersécurité

Sommer accorde une attention particulière au rôle de l'IA dans le paysage des menaces. L'IA ne crée pas de nouvelles catégories de cybercriminalité, mais elle rend les attaques existantes plus rapides, moins coûteuses et bien plus convaincantes. Les modèles actuels les plus dangereux incluent la fraude assistée par deepfake, le spear phishing généré par l'IA associé à la lassitude du MFA, et le vol de jetons ou de sessions qui contourne la détection traditionnelle des malwares. Selon lui, la contre-mesure la plus efficace consiste à se concentrer sur ce que l'IA amplifie le plus : l'identité, la confiance et les privilèges. Le renforcement des identités grâce à une authentification multifacteur résistante au phishing, à des règles d'accès conditionnel strictes et à des droits d'administrateur permanents minimaux constitue la voie la plus facile pour les attaques basées sur l'IA pour gagner du terrain.

La souveraineté numérique en tant que discipline opérationnelle

Un thème récurrent tout au long de l'entretien est la souveraineté numérique, que Sommer définit non pas comme une préférence pour les fournisseurs locaux, mais comme la capacité de décider et de récupérer quand cela compte. Pouvez-vous indiquer en toute confiance où se trouvent vos données sensibles, qui y a accès et à quelle vitesse vous pouvez les déplacer ou les isoler ? Sinon, la dépendance a discrètement remplacé le contrôle. Sommer voit dans la période actuelle de conformité une opportunité : utiliser la pression réglementaire comme un levier pour simplifier les architectures, standardiser les interfaces et concevoir des systèmes avec des composants remplaçables, transformant ainsi la conformité d'un centre de coûts en un atout stratégique.

Gouvernance : de la responsabilité politique à la responsabilité décisionnelle

Enfin, Sommer souligne la nécessité d'un changement dans la gouvernance de la sécurité, en abandonnant l'appropriation des politiques au profit d'une responsabilité décisionnelle claire. Qui décide ? Qui est responsable ? Qui communique ? Qui agit ? Il faut répondre à ces questions à la fois au niveau du conseil d'administration et dans le cadre des activités quotidiennes. La préparation aux incidents, par exemple, ne peut pas être conçue pendant une crise. Cela nécessite des critères de classification prédéfinis, un chemin d'escalade qui fonctionne en quelques heures et une structure de commandement des incidents expérimentée qui associe l'informatique, la sécurité, les services juridiques et les communications.

👉 Lisez l'article complet sur IT Business:
https://www.it-business.de/nis2-und-cra-in-zeiten-von-ki-es-wird-ernst-a-0656f50b91e229cc71487436f25e45b2/

Publié le: it-business.de

Auteur: Dr. Stefan Riedl

‍