Directive CER — Résilience des Entités Critiques Dir...

Vue d'ensemble

Le Directive CER (2022/2557) remplace la Directive européenne sur les infrastructures critiques et établit des obligations complètes pour les entités critiques afin d'améliorer leur résilience face à un large éventail de menaces, y compris les cyberattaques, les catastrophes naturelles, le terrorisme et les pandémies.

La directive couvre 11 secteurs critiques: énergie, transport, services bancaires, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique, espace, production, transformation et distribution alimentaires, et fabrication de produits critiques. Les organisations identifiées comme entités critiques dans ces secteurs doivent mettre en œuvre des mesures de résilience robustes.

Le contrôle d'accès basé sur les certificats et les communications chiffrées constituent des mesures de sécurité essentielles pour le convergence physique-cyberexigée par la directive CER. À mesure que les technologies opérationnelles (OT) et les technologies de l'information (IT) deviennent de plus en plus interconnectées dans les infrastructures critiques, la PKI sert de fondement de confiance pour sécuriser à la fois l'accès physique et numérique.

Clé Exigences

Identification des entités critiques

Les États membres doivent identifier les entités critiques dans les 11 secteurs en utilisant des critères basés sur le risque, y compris la cartographie des dépendances et l'évaluation de l'impact transfrontalier.

Évaluation des risques (Art. 12)

Les entités critiques doivent réaliser des évaluations de risques complètes couvrant toutes les menaces naturelles, humaines et cybernétiques pertinentes pour leurs services essentiels.

Mesures de résilience (Art. 13)

Les entités doivent mettre en œuvre des mesures techniques, de sécurité et organisationnelles pour prévenir, protéger contre, répondre à, résister, atténuer, absorber et se remettre des incidents.

Contrôle d'accès & Authentification

Les entités critiques doivent mettre en œuvre un contrôle d'accès basé sur les certificats et une authentification forte pour les systèmes physiques et numériques protégeant les services essentiels.

Notification d'incident (Art. 15)

Les entités critiques doivent notifier les autorités compétentes des incidents significatifs dans les 24 heures, avec des rapports de suivi détaillés sur l'impact et les mesures de remédiation.

Vérifications d'antécédents & habilitations de sécurité

Les entités critiques doivent effectuer des vérifications d'antécédents sur le personnel ayant accès à des zones sensibles, soutenues par des systèmes de vérification d'identité basés sur des certificats.

Clé Jalons

2020

Proposé déc. 2020

La Commission européenne propose une nouvelle directive visant à renforcer la résilience des entités critiques, remplaçant la directive européenne sur les infrastructures critiques de 2008.

2022

Adopté déc. 2022

La directive CER (2022/2557) est formellement adoptée par le Parlement européen et le Conseil, établissant un cadre complet de résilience.

2024

Transposition 17 oct. 2024

Les États membres de l'UE doivent transposer la directive en droit national et créer des autorités compétentes pour la résilience des entités critiques.

2026 Actuel

Identification des entités critiques terminée

Les États membres doivent avoir identifié toutes les entités critiques dans les 11 secteurs désignés en utilisant des critères établis.

2027

Mesures de résilience complètes appliquées

Toutes les entités critiques doivent avoir mis en œuvre des mesures de résilience complètes, incluant les exigences de sécurité physique et cybernétique.

Impact sur PKI & Certificates

La directive CER place la PKI au cœur de la protection des infrastructures critiques, reliant les exigences de sécurité physiques et numériques. Voici les domaines critiques :

Contrôle d'accès physique basé sur les certificats

Les sites critiques nécessitent une authentification basée sur les certificats pour les systèmes de contrôle d'accès physique, garantissant que seul le personnel autorisé peut accéder aux zones sensibles.

TLS mutuel pour la convergence OT/IT

À mesure que les réseaux opérationnels et technologiques convergent, les certificats TLS mutuels sont essentiels pour sécuriser les communications entre les systèmes de contrôle industriels et les réseaux d'entreprise.

Certificats d'appareil pour la surveillance de l'infrastructure

Les dispositifs de surveillance des infrastructures critiques nécessitent des certificats d'appareil uniques pour une identification sécurisée, l'intégrité des données et la télémétrie chiffrée dans des environnements distribués.

Communications sécurisées entre les entités critiques

Les communications inter‑entités pour le signalement d'incidents et la coordination nécessitent un chiffrement basé sur les certificats, garantissant la confidentialité et l'authenticité des données opérationnelles sensibles.

Evertrust & Directive CER

Inventaire des certificats dans les environnements IT et OT — Découvrir et suivre tous les certificats dans les réseaux de technologie de l'information et de technologie opérationnelle, offrant une visibilité complète pour les audits de résilience CER.

Gestion automatisée du cycle de vie des certificats de contrôle d'accès — Automatisez l'émission, le renouvellement et la révocation des certificats utilisés dans les systèmes de contrôle d'accès physiques et numériques, éliminant la charge manuelle et réduisant le risque d'identifiants expirés.

Application des politiques pour les normes d'infrastructure critique — Appliquez les politiques de certificats alignées sur les exigences de protection des infrastructures critiques, y compris les normes d'algorithmes, les longueurs de clé et les contraintes de validité.

Intégration aux systèmes de contrôle d’accès physique — Intégrez sans effort la gestion des certificats avec les PACS, permettant une authentification par badge basée sur les certificats et la provision automatisée des identifiants pour l’accès aux sites critiques.

PKI

CLM

Cas d’utilisation

Secteurs

Conformité

Apprendre

Outils & analyses

Événements & Communauté

Résilience des Entités Critiques Directive

Faits rapides