Zero Trust et NIS2 : le tournant 2025 de la cybersécurité européenne
Pourquoi le modèle 'never trust, always verify' n'est plus optionnel — surtout en Europe.
Le modèle Zero Trust, formalisé par John Kindervag chez Forrester en 2010 puis codifié par le NIST dans la publication SP 800-207 (2020), part d'un principe simple : ne jamais faire confiance par défaut, qu'un utilisateur soit dans le réseau d'entreprise ou non. Chaque requête est authentifiée, autorisée et chiffrée. Aux États-Unis, l'executive order 14028 (mai 2021) impose ce modèle à toutes les agences fédérales.
En Europe, la directive NIS2 (UE 2022/2555) est entrée en application le 17 octobre 2024. Elle élargit massivement le périmètre des entités 'essentielles' et 'importantes' (santé, énergie, fournisseurs cloud, infra digitale, etc.) et impose des obligations strictes : analyse de risque, gestion des incidents avec notification sous 24h, sécurité de la chaîne d'approvisionnement. Les sanctions peuvent atteindre 10 M€ ou 2 % du CA mondial.
Côté menaces, le rapport ENISA Threat Landscape 2024 confirme la prédominance des ransomwares, des attaques de la supply chain (cf. SolarWinds 2020, MOVEit 2023) et de l'ingénierie sociale dopée à l'IA générative. Le framework MITRE ATT&CK reste la référence pour cartographier tactiques, techniques et procédures (TTP) des attaquants.