Impact de la directive NIS sur les fournisseurs de services cloud

La directive « Network and Infomation Security » sur la sécurité des réseaux et des systèmes d’information, mieux connue sous l’appellation « directive NIS » est la première législation européenne sur la cybersécurité. Elle prévoit en effet des mesures juridiques pour augmenter le niveau général de cybersécurité dans l’UE.

Transposée en droit français par la Loi n° 2018-133 du 26 février 2018, elle a un impact très direct sur les conditions dans lesquelles s’inscrivent désormais les services liés au cloud computing.

Les fournisseurs de services cloud directement impactés

Les entreprises du cloud computing sont des fournisseurs de service numérique. Ils permettent en effet « l’accès à un ensemble modulable et variable de ressources informatiques pouvant être partagées » (L. 2018-133 précitée, art. 10 à 15).

Cela implique d’identifier les risques qui menacent la sécurité de ces réseaux et systèmes d’information et de prendre les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer ces risques.

L’utilisation du cloud, en raison du recours à des prestataires externes, impliquait déjà des problématiques de maîtrise des données,  de réversibilité, de sécurité informatique et de souveraineté.

Avec la directive NIS, l’obligation de sécurité implique pour les fournisseurs de services cloud d’apporter davantage de garanties :

• identifier les risques qui menacent la sécurité de ces réseaux et systèmes d’information et
• prendre les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer ces risques.

Les mesures de sécurité à mettre en  œuvre

Ces mesures de sécurité prennent notamment en considération :

• la sécurité des systèmes et des installations,
• la gestion des incidents,
• la gestion de la continuité des activités et des services,
• le suivi, l’audit et le contrôle ainsi que
• le respect des normes internationales

Pour le client d’un service cloud, tout doit être mis en œuvre pour qu’une altération ou interruption de service ait un impact limité.

La loi prévoit donc une obligation lourde pour le prestataire cloud concernant les mesures techniques et organisationnelles à prévoir. Ces mesures de sécurité doivent correspondre à l’état de l’art ; mais rien n’empêche par contrat de décrire précisément les outils et le niveau de sécurité attendu.

Les parties pourront également anticiper les futures évolutions de la législation, la directive NIS2 étant déjà annoncée !