Le secteur des transports britannique est-il prêt pour le projet de loi sur la cybersécurité et la résilience ?
Quelles pourraient être les implications du projet de loi sur la cybersécurité et la résilience pour le secteur des transports au Royaume-Uni ? Découvrez des mesures concrètes pour renforcer la surveillance des fournisseurs, la gestion des incidents et la reprise après sinistre.
Les services de transport reposent sur la technologie qui sous-tend chaque trajet. La gestion des horaires, l’information des voyageurs et les plateformes des fournisseurs assurent le bon fonctionnement des réseaux, mais les perturbations peuvent se propager rapidement en cas de défaillance des systèmes. Laurence Kresnyak, de Getronics, examine les implications du projet de loi sur la cybersécurité et la résilience pour les opérateurs de transport britanniques et indique par où commencer à se préparer concrètement.
Dans un article publié dans *Transport Monthly*, Laurence Kresnyak, directrice du développement commercial chez Getronics, explique pourquoi les opérateurs de transport devraient renforcer dès maintenant leur cyber-résilience, et par où commencer pour se préparer concrètement.
Quelles sont les implications de ce projet de loi pour les opérateurs de transport ?
Le projet de loi sur la cybersécurité et la résilience (réseaux et systèmes d'information) viserait à actualiser le règlement britannique de 2018 sur la sécurité des réseaux et des systèmes d'information (NIS), afin de renforcer le cadre de protection des services essentiels et des infrastructures numériques.
État d'avancement législatif : 23 octobre 2026. Le projet de loi est toujours en cours d'examen au Parlement ; l'examen en commission à la Chambre des lords est prévu pour le 26 octobre. Ses dispositions sont susceptibles d'évoluer, et sa mise en œuvre se ferait par étapes après la sanction royale. Consultez l'état d'avancement parlementaire le plus récent.
Le secteur des transports est déjà couvert par le cadre NIS, notamment certaines activités spécifiques liées aux services aériens, ferroviaires, routiers et maritimes. Toutefois, le fait d’exercer une activité dans ce secteur ne signifie pas automatiquement que toutes les organisations soient soumises aux mêmes obligations. Les opérateurs doivent déterminer si leurs activités relèvent du champ d’application de ce cadre, quelle est leur désignation et quelles sont les orientations réglementaires applicables.
Le guide de mise en œuvre du NIS publié par le ministère des Transports constitue un point de départ pour comprendre le cadre existant.
Deux modifications proposées méritent une attention particulière :
- Déclaration plus rapide des incidents
Le projet de loi prévoit une notification initiale dans les 24 heures suivant la prise de connaissance d’un incident éligible, suivie d’un rapport plus complet dans les 72 heures. Ces deux délais courent à compter de la prise de connaissance de l’incident ; le second ne correspond pas à un délai supplémentaire de 72 heures après la première notification.
Les propositions viseraient également à élargir le champ des obligations de déclaration afin d’inclure certains incidents susceptibles d’avoir des répercussions importantes, même si aucune perturbation ne s’est encore produite.
La fiche d’information du gouvernement sur la déclaration des incidents explique les changements envisagés : https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets/incident-reporting
- Une surveillance accrue des fournisseurs essentiels
Ce projet de loi donnerait aux autorités de régulation le pouvoir de désigner certains fournisseurs essentiels et de les soumettre à des exigences de sécurité.
Cela ne signifierait pas pour autant que tous les fournisseurs seraient automatiquement soumis à une réglementation directe. La désignation dépendrait de conditions bien définies, notamment des conséquences potentielles d’une interruption de service. Pour les opérateurs de transport, cela souligne l’importance de bien identifier les services externes qui soutiennent leurs opérations essentielles. Consultez la fiche d’information du gouvernement sur les fournisseurs essentiels
Quand une panne technique se transforme en problème de transport
Un service de transport peut être perturbé même lorsque ses véhicules restent opérationnels. La perte d'accès aux horaires, aux informations destinées aux usagers ou aux données nécessaires à la coordination des services peut avoir des répercussions sur l'ensemble du réseau.
L'argument central de Laurence est que la résilience nécessite une compréhension claire du fonctionnement de ces interdépendances.
Les applications plus anciennes et les nouvelles plateformes d'cloud s fonctionnent souvent de concert. Un système qui semble mineur peut prendre en charge plusieurs processus critiques, tandis que le service d'un fournisseur peut être à la base d'activités à l'échelle de l'organisation.
Pour les opérateurs chargés de gérer des environnements technologiques de transport complexes, la première étape consiste à déterminer quels sont les services les plus importants, quels sont les éléments qui les soutiennent et quelles seraient les conséquences en cas de défaillance d'une dépendance.
Six mesures concrètes pour renforcer la préparation
La préparation commence par l'identification des éléments les plus importants et par la collecte de preuves attestant de l'efficacité des plans. Les étapes suivantes constituent des mesures pratiques de préparation, plutôt qu'une liste de contrôle des documents explicitement requis par le projet de loi.
Action | Mesures à prendre et éléments de preuve à rassembler |
|---|---|
Recenser les services essentiels et leurs interdépendances | Identifier les systèmes, les données, l'infrastructure et les fournisseurs qui soutiennent les services de transport essentiels. Tenir à jour une carte des dépendances indiquant les responsables, y compris les services partagés dont une défaillance pourrait affecter plusieurs opérations. |
Évaluer les risques à l'échelle de l'entreprise | Réunissez les équipes opérationnelles, techniques, de sécurité et commerciales afin d'évaluer les scénarios de perturbation. Recensez les répercussions potentielles sur la prestation des services, les voyageurs et la sécurité, ainsi que les mesures de contrôle existantes et les lacunes non comblées. |
Moderniser là où un échec aurait les conséquences les plus graves | Classez les faiblesses par ordre de priorité en fonction de leur impact opérationnel. Élaborez un plan d'amélioration définissant clairement les responsables et les priorités, en recourant à des mises à niveau ciblées lorsque celles-ci permettent de réduire les risques sans nécessiter de remplacement complet. |
Mesures de reprise après sinistre | Définir des durées d'interruption acceptables et des priorités de reprise. Tester les plans, consigner les délais de reprise effectifs et assurer le suivi des problèmes identifiés. Vérifier que la reprise technique permet de rétablir le service dont l'entreprise a besoin. |
Passer en revue les fournisseurs essentiels | Consignez les coordonnées des personnes à contacter en cas d'incident, les modalités de notification, les responsabilités en matière de reprise des activités et les dépendances externes. Discutez de la manière dont l'opérateur et le fournisseur interviendraient conjointement, et testez les hypothèses importantes dans la mesure du possible. |
Attribuer les responsabilités et suivre l'avancement | Attribuez à chaque lacune un responsable désigné, une mesure à prendre convenue et une date de suivi. Tenez les décideurs informés des risques non résolus, des conclusions des exercices et des changements apportés aux services ou fournisseurs essentiels. |
Une approche structurée de la continuité des services informatiques permet de relier la planification de la reprise aux priorités opérationnelles. Une gestion claire de la cybersécurité contribue à garantir que les conclusions débouchent sur des décisions et des mesures concrètes, dont les responsables peuvent être tenus de rendre compte.
Le cas échéant, le cadre d’évaluation cybernétique du NCSC peut aider à structurer l’évaluation et l’amélioration. Les opérateurs doivent suivre le cadre et respecter les exigences applicables à leur activité de transport et à leur autorité de régulation, plutôt que de partir du principe qu’une même évaluation s’applique de manière identique à tous les modes de transport.
Vos équipes seraient-elles en mesure de respecter les délais de remise des rapports proposés ?
Une notification précoce ne se résume pas à un simple modèle de rapport. Les équipes doivent identifier un incident, évaluer son importance, recueillir des informations et savoir qui est habilité à autoriser la communication.
Les opérateurs peuvent commencer par poser la question suivante :
- Qui décide si un incident répond aux critères de signalement ?
- Les équipes opérationnelles et les fournisseurs peuvent-ils partager rapidement les informations nécessaires ?
- Avons-nous mis en pratique ensemble les procédures d'escalade, de communication et de reprise ?
Ces dispositions doivent permettre d'assurer la continuité des services en dehors des heures normales de bureau et lorsque les personnes clés ne sont pas disponibles.
Un exercice peut mettre en évidence que le principal obstacle réside dans un transfert de responsabilités mal défini, une liste de contacts obsolète ou une incertitude quant aux personnes habilitées à prendre une décision. Combler ces lacunes fait partie intégrante de la mise en place d'un dispositif d'intervention fiable.
Expérience dans le soutien d'opérations de transport essentielles
La collaboration de Getronics avec un exploitant d'aéroport britannique illustre l'étendue des services technologiques qui sous-tendent un environnement de transport fonctionnant en continu.
Ce partenariat, qui s'étend sur plus de 12 ans, comprend une assistance technique 24 heures sur 24, des interventions d'ingénieurs sur site, la gestion des infrastructures, l'cloud publique et des services de sécurité.
L'étude de cas consacrée à l'opérateur aéroportuaire britannique illustre la mise en œuvre d'une offre de services intégrée au sein d'un réseau de transport complexe. Elle met en avant une expérience opérationnelle, plutôt qu'une certification au regard du futur projet de loi.
Commencez par les services qui doivent continuer à fonctionner
Les exigences définitives du projet de loi et ses dates de mise en œuvre devront faire l'objet d'un suivi continu. Les opérateurs peuvent d'ores et déjà progresser en identifiant les interdépendances, en testant les plans de reprise et en clarifiant les responsabilités.
Un bon point de départ consiste à se poser la question suivante : si un système ou un fournisseur essentiel venait à être indisponible demain, nos équipes sauraient-elles ce qu’il faut protéger, ce qu’il faut restaurer et qui doit intervenir ?
Lisez l'article de Laurence publié dans Transport Monthly pour découvrir son point de vue sur la préparation du secteur.
À propos de l'auteur
Laurence Kresnyak
Directeur du développement commercial
Laurence Kresnyak est directeur du développement commercial chez Getronics, où il dirige les activités de prospection au Royaume-Uni ainsi que l'équipe chargée du secteur des voyages et des transports. Fort de plus de 20 ans d'expérience, il collabore avec les dirigeants d'entreprise dans les domaines de l'externalisation informatique, des services gérés et de la modernisation technologique, en veillant à ce que les décisions technologiques s'alignent sur les priorités opérationnelles et les résultats commerciaux.
www.linkedin.com/in/laurence-kresnyak-028471
