Introduction
Les risques de cybersécurité liés aux stations de recharge pour véhicules électriques augmentent. Pour gérer ces stations de manière centralisée, qu’elles se trouvent dans l’espace public ou sur des sites privés, les opérateurs de bornes de recharge (CPO) doivent exploiter plusieurs systèmes interconnectés et sont responsables de la protection de données sensibles comme l’identité des utilisateurs et les informations de paiement. La complexité et l’interconnexion de ces systèmes les exposent à toute une série de cybermenaces, des fuites de données aux perturbations possibles du réseau électrique. Il est essentiel de corriger ces vulnérabilités, ce qui exige des mesures de sécurité robustes : protocoles d’authentification forte, normes de chiffrement et architectures réseau segmentées. Des cadres réglementaires comme la directive européenne NIS2 visent à renforcer les normes de cybersécurité des infrastructures de recharge des VE, mais une collaboration étroite de tout le secteur reste indispensable pour se protéger efficacement contre des cybermenaces en constante évolution.
La directive NIS2, officiellement directive (UE) 2022/2555, a été publiée en décembre 2022 par le Parlement européen et le Conseil. Son objectif principal est de renforcer la cybersécurité dans l’Union européenne en instaurant un niveau élevé et commun de sécurité des réseaux et des systèmes d’information. Elle remplace la directive NIS (directive 2016/1148/CE) et élargit son champ d’application à davantage de secteurs et d’entités. Nous examinons l’impact de la directive NIS2 sur le secteur de la recharge des VE et la manière dont AMPECO peut répondre aux défis de NIS2.
La directive NIS2 en bref
La directive NIS2 introduit plusieurs mesures pour améliorer la gestion des risques de cybersécurité, des obligations de notification et des mécanismes de coopération. Elle vise les entités essentielles et importantes de secteurs critiques comme l’énergie, les transports, la santé et les infrastructures numériques.
Compte tenu de leur rôle crucial dans la transition vers une mobilité durable, les opérateurs de bornes de recharge figurent à l’annexe I de la directive NIS2, sur la liste des entités du secteur de l’énergie hautement critiques. Les fournisseurs de services numériques qui proposent des services d’informatique en nuage, comme les systèmes de gestion des bornes de recharge (CPMS, Charge Point Management System), entrent également dans le champ de la directive.
Le tableau ci-dessous résume les principaux aspects de la directive.
Tableau 1. Principaux aspects de la directive NIS2
Impact sur la recharge des VE
La directive NIS2 privilégie une approche « tous risques » de la cybersécurité et oblige les entités à protéger leurs réseaux et systèmes d’information de manière globale. Selon l’article 21, paragraphe 2, les mesures visant à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents comprennent au moins les éléments suivants :
1. Les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information
2. La gestion des incidents
3. La continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises
4. La sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;
5. La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités
6. Des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ;
7. Les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
8. Des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ;
9. La sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs ;
10. Des solutions d’authentification à plusieurs facteurs ou d’authentification continue, des communications vocales, vidéo et textuelles sécurisées et des systèmes sécurisés de communication d’urgence au sein de l’entité.
Exigences pour les opérateurs de bornes de recharge
La directive NIS2 impose aux entités de tous les secteurs une approche « tous risques » de la cybersécurité, axée sur une protection complète des réseaux et des systèmes d’information. Pour les CPO, cela se traduit par plusieurs exigences précises destinées à réduire les risques de cybersécurité et à garantir la conformité.
- Gestion globale des risques : les CPO doivent mettre en place des mesures techniques, opérationnelles et organisationnelles appropriées pour gérer efficacement les risques de cybersécurité.
- Politiques et procédures solides : cela comprend des politiques d’analyse des risques, de sécurité des systèmes d’information et de gestion des incidents. Les CPO doivent également établir des procédures de continuité des activités, notamment la gestion des sauvegardes et la reprise après sinistre, ainsi qu’une gestion sécurisée des actifs.
- Sécurité de la chaîne d’approvisionnement : les CPO doivent traiter les aspects de sécurité de leurs relations avec leurs fournisseurs ou prestataires de services directs.
- Cryptographie et communications sécurisées : les politiques de cryptographie et de chiffrement doivent être appliquées afin de sécuriser les communications et les systèmes d’urgence au sein de l’entité. Les solutions d’authentification à plusieurs facteurs ou d’authentification continue sont essentielles pour protéger ces communications.
- Obligations de notification : en cas d’incident important, les CPO doivent informer sans retard injustifié leur centre de réponse aux incidents de sécurité informatique (CSIRT, Computer Security Incident Response Team) ou l’autorité compétente. Ils doivent aussi communiquer en temps utile aux destinataires de leurs services susceptibles d’être concernés les cybermenaces importantes, avec les mesures ou corrections recommandées.
- Formation continue à la sécurité : une formation régulière à la cybersécurité des organes de direction et des employés est indispensable pour maintenir et appliquer efficacement les mesures de cybersécurité et garantir l’engagement à tous les niveaux de l’organisation.
Exigences pour les systèmes de gestion des bornes de recharge
Pour garantir la conformité des CPO à NIS2, les fournisseurs de systèmes de gestion des bornes de recharge doivent intégrer ces exigences dans leur processus de développement produit afin de respecter les exigences de sécurité.
- Des protocoles de sécurité avancés, proportionnés aux risques, pour gérer et surveiller l’état de cybersécurité de l’ensemble du réseau de recharge.
- Contrôles de conformité et audits réguliers : les fournisseurs de CPMS doivent s’assurer que tous leurs fournisseurs respectent les exigences de cybersécurité, en mettant en place des contrôles de conformité et des audits réguliers, avec une sélection rigoureuse et une surveillance continue des fournisseurs et des prestataires de services.
- Sécurité des systèmes : elle doit être intégrée au développement et à la maintenance du CPMS pour que les vulnérabilités soient corrigées rapidement. Une surveillance continue doit être planifiée et réalisée régulièrement pour détecter et réduire efficacement les nouveaux risques.
- Des programmes de formation complets pour le personnel et la direction doivent faire partie de la stratégie globale de développement des collaborateurs, afin de sensibiliser à l’importance de NIS2 et d’informer sur les dernières cybermenaces et bonnes pratiques.
ChargeUp Europe, qui représente le secteur des infrastructures de recharge des VE dans l’UE, soutient la directive NIS2 et les nouvelles règles sur la sécurité des réseaux et des systèmes d’information. Ses entreprises membres exploitent plus de 175 000 bornes de recharge dans tous les États membres de l’UE, et ChargeUp Europe souligne l’importance cruciale d’une infrastructure de recharge sûre et fiable pour accélérer l’adoption de la mobilité zéro émission. L’association plaide pour que les infrastructures de recharge des VE soient classées comme infrastructures critiques au titre de la directive NIS, afin de garantir des mesures de sécurité robustes et des normes de protection des données sur toute la chaîne de valeur. Elle insiste aussi sur la nécessité de définitions cohérentes, de plusieurs options de certification, de mesures de conformité rentables et d’une éventuelle supervision réglementaire au niveau de l’UE, pour offrir aux conducteurs de VE une expérience fluide et sûre dans toute l’Europe.
Comment AMPECO vous aide à vous conformer à NIS2
En tant que fournisseur de premier plan de logiciel de supervision de recharge en marque blanche, AMPECO s’engage pleinement à aider les opérateurs de bornes de recharge (CPO) à atteindre et à maintenir leur conformité à la directive NIS2. Notre certification ISO 27001 garantit que nos produits respectent des normes élevées de gestion de la sécurité de l’information. Voici comment les fonctionnalités du logiciel AMPECO répondent aux exigences de NIS2.
Protocoles de sécurité avancés
Le logiciel AMPECO intègre des protocoles de sécurité avancés pour gérer et surveiller l’état de cybersécurité de l’ensemble de votre réseau de recharge. Ces protocoles aident à réduire les risques et à maintenir la résilience de votre infrastructure face à des cybermenaces en constante évolution.
Chiffrement des données et cryptographie
Pour protéger les données sensibles comme l’identité des utilisateurs et les informations de paiement, AMPECO applique des normes de chiffrement robustes. Notre logiciel chiffre les données en transit comme au repos, selon les normes de sécurité les plus élevées et conformément aux politiques de cryptographie imposées par NIS2.
Pratiques de développement sécurisé
Le processus de développement d’AMPECO suit des pratiques de sécurité strictes pour rendre notre logiciel résistant aux vulnérabilités. Des mises à jour et une maintenance régulières traitent rapidement les nouvelles menaces, afin que vos systèmes restent sécurisés et conformes aux exigences de NIS2.
Conformité et surveillance des fournisseurs
AMPECO sélectionne avec rigueur et surveille en continu tous les fournisseurs et prestataires de services intégrés à notre écosystème logiciel. Chaque composant de votre réseau de recharge respecte ainsi les normes de cybersécurité nécessaires, pour un environnement d’exploitation sûr et conforme.
Gestion des incidents
Dans le cadre de son processus de gestion des incidents de sécurité, AMPECO est tenu de signaler tout incident lié à l’environnement ou aux données des CPO. Il s’agit de la première étape pour répondre à l’exigence de NIS2 de notification rapide aux CSIRT locaux.
Continuité des activités
AMPECO assure la continuité des activités grâce à des pratiques de gestion des sauvegardes, de reprise après sinistre et de gestion de crise. Ces pratiques permettent à votre CPMS de se rétablir rapidement et de continuer à fonctionner sans accroc en cas d’incident.
Authentification multifacteur
AMPECO prend en charge l’authentification à plusieurs facteurs (MFA) dans son portail d’administration backend pour plus de sécurité, tandis que les CPO gèrent la MFA des utilisateurs finaux.
Échéances importantes
Au plus tard le 17 octobre 2024, les États membres doivent adopter et publier les mesures nécessaires pour se conformer à la directive NIS2. Ils appliquent ces mesures à partir du 18 octobre 2024. La directive (UE) 2016/1148 (directive NIS) est abrogée avec effet au 18 octobre 2024.
Au plus tard le 17 avril 2025, les États membres établissent une liste des entités essentielles et importantes ainsi que des entités fournissant des services d’enregistrement de noms de domaine. Ils réexaminent cette liste régulièrement, puis au moins tous les deux ans, et la mettent à jour le cas échéant.
Obligations des entités hors UE opérant dans l’UE
Les entités établies hors de l’UE qui fournissent des services dans l’Union européenne au sens de la directive NIS2 doivent désigner un représentant dans l’un des États membres où les services sont proposés. Ce représentant détermine la compétence de l’État membre concerné à l’égard de l’entité ; en l’absence de représentant, tout État membre où des services sont fournis peut engager des poursuites pour infraction à la directive. Les actes juridiques sectoriels de l’Union doivent au minimum correspondre aux exigences de gestion des risques de cybersécurité prévues à l’article 21, paragraphes 1 et 2, de la directive NIS2, ou aller au-delà. Selon une approche « tous risques », ces mesures doivent non seulement protéger les réseaux et les systèmes d’information, mais aussi assurer la sécurité physique et environnementale, contre des événements comme le sabotage, le vol, l’incendie, l’inondation, les pannes de télécommunications ou d’électricité et les accès physiques non autorisés, susceptibles de compromettre l’intégrité des données et la disponibilité des services.
