« NIS2 et DORA : la conformité comme levier stratégique »

Peu de sujets suscitent autant de résignation dans les directions générales que l’arrivée d’une nouvelle vague réglementaire. La directive NIS2, qui élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité, et le règlement DORA, qui structure la résilience opérationnelle numérique du secteur financier, sont trop souvent abordés sous l’angle du fardeau : un coût de mise en conformité, des délais contraints, une charge documentaire supplémentaire. Pour un dirigeant de PME ou d’ETI en environnement régulé, la tentation est grande de traiter ces textes comme une contrainte à absorber au moindre effort.

Ce réflexe défensif fait pourtant passer à côté de l’essentiel. Bien lues, ces réglementations ne demandent rien d’autre que ce qu’une organisation numériquement dépendante devrait déjà savoir : où sont ses risques, qui en répond, comment elle tient le choc et se relève. La question utile pour le COMEX et le conseil n’est donc pas « combien cela va-t-il coûter ? », mais « comment transformer cette obligation en socle de maturité et en avantage de confiance ? ». C’est cette bascule de posture que nous proposons d’examiner.

Ce que ces textes attendent réellement

Derrière leur technicité apparente, NIS2 et DORA partagent une même logique : faire de la maîtrise du risque numérique une responsabilité de gouvernance, et non un problème délégué aux équipes techniques. Les exigences se recoupent largement, même si leur périmètre diffère — la première vise un large spectre de secteurs jugés essentiels ou importants, le second cible spécifiquement les entités financières et leurs prestataires informatiques.

Une gestion des risques formalisée

Le cœur des deux dispositifs est une approche du risque fondée sur des mesures proportionnées à l’exposition réelle de l’organisation. Plutôt qu’une liste figée de contrôles, les textes attendent une démarche vivante :

• l’identification des actifs et des processus critiques, et l’analyse des menaces qui pèsent sur eux ;
• des politiques de sécurité, de continuité et de reprise réellement testées, et non seulement écrites ;
• une gouvernance claire, où les organes de direction valident, suivent et rendent compte du dispositif ;
• une amélioration continue, alimentée par les incidents, les tests et les évolutions de la menace.

La notification d’incidents et la chaîne des tiers

Les deux textes imposent une notification structurée des incidents significatifs aux autorités compétentes, dans des délais resserrés et selon des étapes définies. Cette exigence oblige l’organisation à savoir détecter, qualifier et documenter un incident sous pression — une capacité qui, précisément, distingue les entreprises résilientes des autres.

DORA va plus loin sur un point décisif : la maîtrise de la chaîne de sous-traitance. Le règlement place la relation avec les prestataires de services informatiques tiers au centre du dispositif, en exigeant un suivi contractuel rigoureux, une cartographie des dépendances et une attention particulière aux concentrations critiques. Il reconnaît ainsi une réalité longtemps ignorée : le risque d’une organisation ne s’arrête pas à ses propres murs, il s’étend à l’écosystème de fournisseurs dont elle dépend.

La responsabilité remonte au sommet

La rupture la plus profonde introduite par ces réglementations est d’ordre culturel. En engageant explicitement la responsabilité des organes de direction dans la supervision du risque numérique, elles interdisent que la cybersécurité reste un sujet cantonné à la DSI ou au RSSI. Le dirigeant ne peut plus se retrancher derrière la technicité du sujet : il lui appartient de comprendre le niveau de risque accepté, de valider les orientations et d’en répondre.

Cette responsabilisation s’accompagne d’un régime de sanctions dissuasif, qui peut engager tant l’entité que ses dirigeants et affecter durablement la réputation de l’organisation. Mais réduire ces textes à leur volet répressif serait une erreur d’analyse. Leur effet le plus utile est d’installer la question du risque numérique à la table du conseil, là où elle aurait toujours dû figurer, et d’en faire un objet d’arbitrage stratégique plutôt qu’une affaire d’experts.

La contrainte réglementaire a un mérite paradoxal : elle oblige le dirigeant à regarder un risque qu’il aurait, sans elle, continué de déléguer.

De la contrainte à l’avantage concurrentiel

Une organisation qui structure sa gouvernance du risque, qui démontre sa résilience opérationnelle et qui maîtrise sa chaîne de tiers ne fait pas que satisfaire un régulateur : elle construit un actif de confiance. Dans un marché où les donneurs d’ordre, les partenaires financiers et les assureurs scrutent la solidité numérique de leurs contreparties, cette confiance devient un facteur de différenciation tangible.

Les bénéfices dépassent le seul registre défensif. La démarche imposée par NIS2 et DORA clarifie les responsabilités internes, professionnalise la relation aux fournisseurs, et outille la direction pour trancher en connaissance de cause. Pour une PME ou une ETI qui ambitionne de servir de grands comptes ou d’opérer dans un secteur réglementé, une conformité maîtrisée cesse d’être une condition d’entrée subie pour devenir un argument commercial. L’effort consenti sous la pression réglementaire produit alors une valeur qui excède largement son motif initial.

Le piège du « tick-the-box »

Reste une nuance décisive, qu’aucun dirigeant lucide ne peut ignorer : la conformité n’est pas la sécurité. Une organisation peut cocher toutes les cases d’un référentiel et demeurer profondément vulnérable, parce que la conformité photographie un état à un instant donné là où la menace, elle, évolue sans relâche. Le risque du « tick-the-box » — ramener l’exercice à la production de preuves destinées à l’auditeur — est réel, et il est d’autant plus dangereux qu’il rassure.

Une conformité de façade a même un effet pervers : elle endort la vigilance qu’elle prétend aiguiser. L’attestation obtenue tient lieu de conviction, et l’organisation confond le respect de la lettre avec la maîtrise de l’esprit. La valeur de ces réglementations ne réside pas dans le certificat qu’elles permettent d’afficher, mais dans la maturité qu’elles imposent de construire.

Trois questions pour un dirigeant

• La démarche de conformité renforce-t-elle notre résilience réelle, ou produit-elle surtout des preuves pour l’audit ?
• Connaissons-nous nos dépendances critiques à des tiers, et sommes-nous capables de les piloter en situation de crise ?
• Le conseil s’approprie-t-il ce risque comme un sujet stratégique, ou le considère-t-il encore comme une affaire technique ?

C’est précisément à cette articulation que se situe la valeur d’un regard extérieur. Le rôle de CIBNET n’est pas de mettre en œuvre les dispositifs techniques, mais d’aider les dirigeants à donner du sens à ces obligations : lire les exigences à la hauteur des enjeux d’affaires, cadrer la trajectoire de mise en conformité, et arbitrer entre l’essentiel et l’accessoire. NIS2 et DORA ne sont ni une menace ni une simple formalité. Ce sont des occasions rares de faire du risque numérique un objet de décision assumé au sommet — à condition de refuser d’en faire une fin en soi, et d’en faire au contraire le socle d’une maturité durable.