La directive NIS 2 dépasse la simple conformité administrative et constitue un impératif stratégique, garantissant la résilience opérationnelle des entreprises.
De nombreux dirigeants peinent encore à percevoir la portée réelle de cette directive au-delà de sa dimension réglementaire. La nouvelle réglementation exige au contraire une refonte de la gestion des risques pour protéger l’activité commerciale. Aurélie Pougin, Directrice des Opérations chez DBM Partners, décrypte avec nous les transformations nécessaires pour aborder cette directive. « La directive NIS 2 cible avant tout la survie et la résilience de l’organisation. »
Bien plus qu’une paperasse administrative
La perception initiale de la directive NIS 2 la réduit souvent à une formalité administrative, au même titre que le RGPD. Erreur fondamentale : la conformité passive ne protège aucun système d’information. Cette directive vise avant tout la pérennité et la survie même des organisations face aux menaces numériques.
Contrairement à d’autres régulations, NIS 2 transfère une responsabilité directe sur le comité de direction. Ce dernier doit dorénavant s’engager activement dans la gestion des risques métiers liés à la cybersécurité. « Ce n’est plus uniquement au RSSI de porte cette directive et la cybersécurité. »
Cette transformation interne garantit la continuité de la production en cas d’attaque informatique majeure. « On passe d’une logique de conformité à une logique de gestion des risques business. »
En outre, cette transition implique :
- Une évolution d’une logique de simple conformité réglementaire vers une gestion proactive et intégrée des risques cyber.
- L’intégration de la cybersécurité au cœur des décisions stratégiques de l’entreprise.
- Le renforcement des capacités de l’organisation à « encaisser les chocs » et à maintenir ses opérations en cas d’incident de sécurité.
Les organisations qui se contenteront de « cocher des cases » sans une approche opérationnelle et de fond risquent d’être mal protégées, alerte l’experte.
Le référentiel ReCyF de l’ANSSI constitue un
document de travail structurant pour le moment
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) propose le guide ReCyF pour piloter cette transition réglementaire. Cet outil méthodologique accompagne pas à pas les organisations dans l’évaluation concrète de leurs failles numériques.
« Le référentiel ReCyF formalise des étapes claires pour sécuriser les infrastructures critiques sans paralyser la production », insiste Aurélie Pougin. Adopter cette méthode permet de protéger la réputation, les relations contractuelles et limite l’exposition juridique et financière, anticipant ainsi les potentielles sanctions financières.
Cette cartographie des risques numériques rassure immédiatement les investisseurs sur la solidité de du système d’information. À noter que « les grands groupes exigent à présent des garanties cyber concrètes avant de signer un contrat ou un appel d’offre majeur. »
Ce référentiel fournit une structure pragmatique articulée autour de quatre axes majeurs qui consistent à :
- Gouverner pour définir la politique de sécurité ainsi que les rôles et responsabilités.
- Protéger en mettant en œuvre les mesures techniques et organisationnelles pour prévenir les cyberattaques.
- Défendre par la détection et l’analyse des incidents de sécurité potentiels.
- Résilier pour gérer les incidents, rétablir les opérations et assurer la continuité d’activité.
« Cette approche permet aux organisations de penser la sécurité comme un système cohérent et opérationnel plutôt que comme une simple liste de contrôle », explique Aurélie Pougin.
Approche opérationnelle de la mise en conformité NIS 2
L’identification des actifs critiques est une étape fondamentale et souvent perçue comme complexe. Plutôt que de s’enliser dans une analyse technique exhaustive, l’approche préconisée est de partir de la gestion des risques métiers.
Les directeurs des opérations sont conseillés de débuter par une analyse de risque métier afin d’identifier ce qui est essentiel au fonctionnement de l’organisation. Ils peuvent alors identifier les actifs techniques essentiels qui supportent directement ces fonctions critiques au sein de leur organisation.
Une démarche collaborative doit parallèlement impliquer les équipes opérationnelles pour cartographier les usages et les éléments cruciaux pour l’activité.
« Il est nécessaire d’identifier ce qui est essentiel au fonctionnement de l’organisation pour ensuite en déduire naturellement les actifs liés », précise Aurélie Pougin. Cette méthode permet de cibler les efforts et d’optimiser l’investissement en cybersécurité. Les organisations devront notifier les autorités compétentes selon un calendrier précis :
« Les organisations doivent se préparer à ces échéances, car cela fait partie intégrante de la montée en maturité et de la capacité à réagir en cas de tempête cyber, ce qui dépasse le simple cadre de la conformité », alerte Aurélie Pougin.
L’avantage compétitif de la préparation proactive
L’anticipation de la mise en conformité avec NIS 2 confère un avantage concurrentiel et opérationnel non négligeable aux entreprises. « Il ne faut pas attendre la transposition, il faut lancer la fondation aujourd’hui ! », insiste Aurélie Pougin.
Les entreprises attentistes devront potentiellement suspendre leurs projets pour gérer une mise en conformité précipitée. À l’inverse, les entités préparées pourront poursuivre leurs activités, renforcer leur maturité cyber et éviter l’urgence réglementaire.
Les menaces numériques n’attendent pas la finalisation des textes juridiques pour paralyser les chaînes de production. « Attendre la loi nationale expose l’entreprise à des risques destructeurs que personne ne peut plus se permettre. »
De plus, l’intégration précoce de ces standards cyber valorise directement l’image de marque auprès des grands donneurs d’ordres. La mise en conformité prouve aussi la robustesse de leurs systèmes d’information.
Par ailleurs, cette maturité technique séduit les assureurs qui réduisent le montant des surprimes liées aux risques cyber. « Nos clients intègrent la sécurité informatique comme un critère de sélection éliminatoire lors des appels d’offres », partage l’expert.
DBM Partners, en collaboration avec Tenacy, a d’ailleurs co-rédigé un livre blanc de quarante pages incluant une checklist et un workflow pour aider les entreprises à évaluer leur exposition à NIS 2 et à initier leur démarche de conformité.
