En bref. NIS2 élargit le nombre d’organisations concernées et renforce le rôle des organes de direction. Pour un dirigeant, l’enjeu n’est pas de connaître chaque exigence technique : il est de s’assurer que les risques sont gouvernés, que les mesures sont approuvées et supervisées, et que l’organisation peut en apporter la preuve.
Une mise en conformité pilotée uniquement comme un projet de sécurité informatique risque de produire beaucoup de documents et peu de décisions. NIS2 doit être abordée comme un sujet de gouvernance, de continuité et de responsabilité.
NIS2 en quelques mots
La directive européenne NIS2 vise un niveau commun élevé de cybersécurité. Elle concerne des entités essentielles ou importantes appartenant à des secteurs définis par les textes. Le périmètre dépend notamment de l’activité, de la taille, du rôle dans la chaîne de valeur et de critères nationaux.
La première décision consiste donc à qualifier le périmètre : l’organisation est-elle concernée directement, au titre de quel secteur et pour quelles entités juridiques ? Même lorsqu’elle n’est pas directement régulée, elle peut recevoir des exigences de clients ou de donneurs d’ordre eux-mêmes soumis à NIS2.
Ce que NIS2 change pour les organes de direction
L’article 20 de la directive prévoit que les organes de direction approuvent les mesures de gestion des risques de cybersécurité et supervisent leur mise en œuvre. Il prévoit également une formation des membres concernés. Le sujet ne peut donc pas être entièrement délégué à la DSI ou au responsable de la sécurité.
Approuver ne signifie pas valider une politique générale sans discussion. Il faut comprendre les risques majeurs, les écarts, le calendrier, les moyens engagés et les risques résiduels. Superviser signifie ensuite suivre l’exécution et demander des preuves d’efficacité.
Les cinq chantiers à piloter
1. Déterminer le périmètre et les responsabilités
Il faut identifier les entités concernées, leurs services essentiels, les responsables internes, le point de contact et les instances de décision. Cette étape évite qu’un programme soit lancé sur un périmètre supposé ou trop exclusivement technique.
2. Relier les exigences aux risques réels
NIS2 couvre notamment l’analyse des risques, la gestion des incidents, la continuité, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, la cyberhygiène, le contrôle des accès et l’évaluation de l’efficacité. Le diagnostic doit relier ces domaines aux activités essentielles et aux scénarios qui pourraient les interrompre.
3. Organiser la notification et la gestion des incidents
Les délais de notification imposent de savoir détecter, qualifier, décider et communiquer rapidement. L’organisation doit définir qui déclenche le processus, quelles informations sont nécessaires et comment la direction reste impliquée sans ralentir la réponse.
4. Maîtriser les fournisseurs critiques
La sécurité de la chaîne d’approvisionnement ne se limite pas à ajouter une clause contractuelle. Elle nécessite de classer les fournisseurs selon leur criticité, d’évaluer leurs mesures, d’organiser la notification des incidents et de prévoir la continuité ou la réversibilité.
5. Construire les preuves
Une mesure n’est pas démontrée par son existence dans une politique. Les preuves peuvent être un résultat de test, un compte rendu d’exercice, un taux de couverture, une décision tracée, un rapport de contrôle ou la résolution d’un écart. La collecte doit être organisée au fil de l’eau.
La question décisive
Si une autorité ou un client demandait demain comment la direction supervise les risques cyber, quels éléments concrets l’organisation pourrait-elle présenter ?
Une feuille de route NIS2 utile
Une feuille de route crédible ne cherche pas à tout traiter en même temps. Elle distingue les mesures immédiates, les chantiers structurants et les améliorations continues. Chaque action comporte un responsable, un résultat attendu, une échéance, une dépendance, un budget et une preuve.
Le tableau présenté à la direction doit faire apparaître le niveau d’exposition, les décisions attendues et les obstacles. Pour structurer cette démarche, les missions de conformité et de gouvernance 53W partent de la situation réelle de l’organisation plutôt que d’une grille appliquée mécaniquement.
Sources officielles et vigilance
Le cadre national, le périmètre précis et les exigences applicables doivent toujours être vérifiés dans les textes et ressources officiels à la date de la décision. Cet article propose une lecture de gouvernance et ne constitue pas un avis juridique.
- ANSSI — Espace officiel NIS2
- ANSSI — Exigences de cybersécurité et rôle des organes de direction
- EUR-Lex — Directive (UE) 2022/2555
Besoin de transformer NIS2 en décisions et en feuille de route ?
Me contacter pour cadrer votre situation.