CRA, NIS2, DORA: trei texte, un singur dispozitiv de reziliență cibernetică

Europa și-a construit reziliența cibernetică în trei bucăți. NIS2 vizează entitățile esențiale și importante din optsprezece sectoare critice: o directivă, deci o transpunere națională, a cărei versiune franceză se lasă așteptată până într-atât încât Comisia a trimis Franța în fața Curții de Justiție la 9 iulie. DORA vizează entitățile financiare, bănci, asigurători, societăți de administrare: un regulament, aplicabil ca atare din 17 ianuarie 2025, supravegheat în Franța de ACPR. CRA vizează produsele: orice echipament sau software care conține elemente digitale introdus pe piața europeană, cu un prim termen obligatoriu la 11 septembrie 2026, notificarea vulnerabilităților exploatate activ, iar Comisia tocmai a publicat primul ghid de aplicare.

Privite dinspre Bruxelles, trei perimetre distincte. Privite din interiorul unui grup, aceleași persoane: responsabilul cu securitatea sistemelor informatice (RSSI), echipa de conformitate, direcția de risc, deseori aceiași prestatori. O bancă ce își dezvoltă propriile aplicații intră sub incidența DORA pentru dispozitivul său, a CRA pentru produsele sale, iar grupul său poate avea filiale sub NIS2. Textul prevede de altfel și articularea: pentru entitățile financiare, DORA primează asupra NIS2, ca text sectorial specific. Rămâne însă de stabilit precis cine, în cadrul grupului, intră sub incidența cărui text.

Dezbrăcate de vocabularul propriu, cele trei texte impun același nucleu. O guvernanță numită: organele de conducere sunt responsabile, personal în cazul NIS2 și DORA, de aprobarea și supravegherea dispozitivului. O gestionare documentată a riscurilor TIC: identificarea activelor, evaluarea amenințărilor, tratarea decalajelor. Un proces de gestionare a incidentelor: detectare, calificare, notificare, extragerea lecțiilor învățate. Și un control al terților: lanțul de aprovizionare în NIS2, registrul prestatorilor TIC în DORA, transmis supraveghetorilor din aprilie 2025, lanțul de componente în CRA.

Diferențele reale țin de termene și de ghișee. Un incident major se notifică la ANSSI sub NIS2 (alertă timpurie în 24 de ore, notificare în 72 de ore), la supraveghetorul financiar sub DORA, conform modelelor sale armonizate proprii, la ENISA sub CRA pentru o vulnerabilitate de produs exploatată activ, în 24 de ore. Trei formulare, trei cronometre, un singur incident real.

Tratarea izolată produce aici cele mai concrete daune. Trei proiecte de conformitate construiesc trei inventare de active care diverg, trei cartografieri de riscuri la scări incompatibile, trei proceduri de notificare dintre care nimeni nu știe care se aplică la ora 2 dimineața când incidentul este real și toate cele trei cronometre bat în același timp.

Acesta este testul care nu iartă: un incident semnificativ la un actor financiar care este și editor de software poate declanșa simultan o notificare DORA către supraveghetor și o notificare CRA către ENISA, în timp ce filialele grupului se întreabă în privința obligațiilor lor NIS2. Organizațiile care au repetat acest scenariu pe un dispozitiv unificat îl parcurg fără probleme; celelalte îl descoperă suferindu-l.

Răspunsul metodologic este cel pe care l-am descris pentru stratificarea reglementară în general: separarea nucleului, care se măsoară o singură dată, de perspectivele reglementare, care se transpun pe fiecare text în parte. Un diagnostic de maturitate a rezilienței cibernetice evaluează capacitățile comune, guvernanță, riscuri, incidente, terți, teste, pe o scală omogenă; fiecare criteriu este asociat textelor cărora le servește, iar cele trei conformități se citesc ca trei proiecții ale aceleiași situații de fapt.

Această suprapunere scoate la iveală coliziunile utile: un proces unificat de gestionare a incidentelor, cu pragurile sale de calificare și cu directorul său de ghișee, face să avanseze toate cele trei texte deodată. Un registru al terților bine construit servește DORA astăzi și lanțul de aprovizionare NIS2 mâine. Iar un limbaj comun al riscului, cel al standardului ISO 27005 de exemplu, evită ca fiecare text să reinventeze propria scală de gravitate.

Termenul CRA din 11 septembrie este declanșatorul potrivit, pentru că este apropiat, obligatoriu și operațional. Trei gesturi, în ordine: clarificarea cine, în cadrul grupului, intră sub incidența cărui text, entitate cu entitate și produs cu produs. Unificarea procesului de notificare, o singură procedură internă, trei ghișee de ieșire, responsabili numiți și contactabili. Apoi măsurarea maturității nucleului și transformarea decalajelor într-un plan de acțiune datat, acordând prioritate a ceea ce servește toate cele trei texte deodată.

Calendarul nu se va opri aici: obligațiile principale ale CRA sosesc în decembrie 2027, legea franceză privind reziliența va ajunge în cele din urmă să fie votată, DORA continuă să crească în exigență privind testele. Organizațiile care pilotează acest trio dintr-un diagnostic unic vor absorbi fiecare nouă treaptă. Celelalte vor relua un șantier la fiecare termen.