Un vide juridique NIS2 qui n’exonère pas les DSI de leurs responsabilités
La mise en conformité NIS2 entreprise se joue désormais sous la pression de la Cour de justice de l’Union européenne, saisie par la Commission pour non-transposition de la directive (UE) 2022/2555 par plusieurs États membres dont la France. Dans son communiqué du 8 mars 2024, la Commission a annoncé avoir adressé des avis motivés à 18 États pour non-respect de l’échéance de transposition du 17 octobre 2024, première étape avant la saisine de la CJUE et d’éventuelles astreintes financières. Pour un directeur des systèmes d’information, ce vide réglementaire n’annule ni les exigences de sécurité numérique ni les attentes des autorités, il complexifie seulement la gestion des priorités entre conformité, continuité d’activité et investissements cyber. Dans les faits, la directive NIS2 et la précédente directive NIS imposent déjà un objectif de sécurité clair pour les systèmes d’information critiques, même si la loi française de mise en conformité n’est pas encore définitivement adoptée.
Le retard français est documenté : échéance de transposition dépassée, lettre de mise en demeure, avis motivé, puis saisine de la CJUE avec menace d’astreintes financières pour l’administration nationale. Selon les informations publiques disponibles sur les travaux parlementaires, le projet de loi « Résilience » et le texte de transposition NIS2 ont été examinés au Sénat fin 2024, mais le calendrier prévisionnel laisse entrevoir une adoption définitive et les premiers décrets d’application plutôt courant 2025, avec une montée en charge progressive des contrôles jusqu’en 2026. Pour les DSI d’entités essentielles des secteurs santé, énergie, transport ou services publics, la question n’est plus de savoir si la mise en conformité NIS2 entreprise sera obligatoire, mais comment piloter la gestion des risques cyber et la sécurité des systèmes d’information sans texte stabilisé. La plupart des grandes entités ont déjà engagé une mise en œuvre progressive de mesures de cybersécurité, en s’alignant sur les objectifs de sécurité communs à NIS2, au NIST CSF et à l’ISO 27001.
Ce décalage réglementaire crée une zone grise pour près de 15 000 entités régulées, estimation issue des travaux préparatoires de la Commission européenne et du ministère français chargé du numérique, contre quelques centaines seulement sous le premier régime NIS. Les DSI de groupes comme SNCF, EDF, Aéroports de Paris ou de grandes mutuelles de santé doivent articuler la sécurité des systèmes, la gestion de crise et la réponse aux incidents avec des autorités de contrôle qui, elles, se préparent déjà à des audits de sécurité renforcés. Pour garder la sécurité mise sous contrôle, la mise en conformité NIS2 entreprise devient ainsi un chantier structurant de gouvernance, où chaque entité doit documenter son système d’information, ses utilisateurs de systèmes critiques, ses incidents de sécurité et ses mesures de gestion des risques cyber pour démontrer une résilience opérationnelle crédible. Comme le résumait récemment un RSSI de groupe bancaire lors d’un retour d’expérience interne, « l’enjeu n’est pas de deviner le futur décret, mais de prouver dès maintenant que nos systèmes d’information critiques résistent aux scénarios d’attaque les plus probables ».
Travailler sur le texte sénatorial et les référentiels existants pour sécuriser les chantiers
Face à l’incertitude sur la version finale de la loi Résilience, une stratégie pragmatique pour la mise en conformité NIS2 entreprise consiste à s’appuyer sur le texte voté au Sénat et sur les référentiels de cybersécurité déjà reconnus. Les DSI peuvent ainsi structurer la gestion des risques autour de l’ISO 27001, du NIST CSF et des guides de l’ANSSI, en ciblant les mesures de sécurité numérique qui resteront de toute façon au cœur des objectifs de sécurité exigés par la directive NIS2. Cette approche permet de sécuriser la mise en œuvre des contrôles techniques et organisationnels, sans attendre que l’Assemblée nationale tranche les derniers arbitrages sur la directive NIS et les pouvoirs de l’administration.
Concrètement, la priorité est de cartographier les systèmes d’information critiques, les services essentiels et les activités dépendantes, puis de qualifier les risques cyber associés à chaque entité. Pour rendre cette démarche opérationnelle, un DSI peut structurer la mise en conformité NIS2 entreprise en quatre étapes complémentaires : 1) recenser les actifs et dépendances clés, 2) évaluer les scénarios de menaces et les impacts métier, 3) définir les mesures de protection, de détection et de réponse adaptées, 4) formaliser les plans de continuité d’activité et de reprise. La directive impose de documenter les informations par entité, les dépendances entre systèmes d’information, les scénarios d’incidents et les plans de continuité d’activité, avec une gestion des risques formalisée et révisée régulièrement. Les DSI peuvent s’appuyer sur les bonnes pratiques décrites dans les normes ISO en cybersécurité pour structurer cette démarche, comme le rappelle l’analyse détaillée publiée sur les normes ISO en cybersécurité pour votre stratégie IT.
Dans ce contexte, les audits de sécurité deviennent un véritable outil de pilotage, pas seulement un exercice de conformité imposé par les autorités des États membres. Les entités essentielles ont intérêt à lancer dès maintenant des audits ciblés sur quelques domaines prioritaires : sécurité des systèmes, gestion de crise, réponse aux incidents et continuité d’activité, en intégrant les exigences probables de la directive NIS2 dans leurs cahiers des charges. Pour un DSI, l’objectif de sécurité n’est pas seulement de cocher des cases de conformité, mais de réduire concrètement la probabilité d’incident de sécurité majeur sur un système d’information clé et d’en limiter l’impact opérationnel sur les services rendus aux utilisateurs des systèmes.
Arbitrer entre exigences opérationnelles, article 16 bis et pression des régulateurs
Le point de friction le plus sensible pour la mise en conformité NIS2 entreprise en France reste l’article 16 bis sur les portes dérobées, qui oppose les services de renseignement à l’esprit de la directive NIS2. Pour un DSI, cette tension politique ne doit pas masquer l’essentiel : la directive NIS, dans sa nouvelle version, renforce les obligations de sécurité numérique, de gestion des risques et de notification des incidents pour toutes les entités essentielles. La mise en œuvre de mesures de sécurité robustes sur les systèmes d’information critiques, y compris le chiffrement, la segmentation et la supervision continue, reste l’axe central pour atteindre les objectifs de sécurité attendus par les autorités européennes.
Les rapports de l’ANSSI sur les incidents de sécurité récents, notamment ceux analysés dans le panorama des incidents et la montée en puissance de NIS2 présenté sur le rapport ANSSI et la montée en puissance de NIS2, montrent que la majorité des crises cyber proviennent encore de failles basiques de gestion des risques. Les DSI doivent donc concentrer la mise en conformité NIS2 entreprise sur quelques chantiers structurants : gouvernance de la sécurité des systèmes, gestion de crise outillée, procédures de réponse aux incidents et supervision continue des systèmes d’information. Les retours d’expérience partagés avec des RSSI de groupes comme Orange, Crédit Agricole ou Airbus confirment que la sécurité mise sous contrôle passe d’abord par une hygiène cyber rigoureuse (gestion des correctifs, durcissement des configurations, contrôle des accès), avant les projets plus sophistiqués.
Pour articuler conformité, performance et gouvernance, les DSI peuvent s’appuyer sur les analyses opérationnelles dédiées aux directeurs des systèmes d’information, comme celles publiées sur renforcer la cybersécurité, la conformité et les normes pour les DSI. La mise en conformité NIS2 entreprise devient alors un levier de transformation : clarification des responsabilités par entité, alignement des objectifs de sécurité avec les objectifs métier, industrialisation de la gestion des incidents et de la gestion de crise, et meilleure visibilité sur les risques cyber au niveau du COMEX. Pour un CIO, l’arbitrage réel ne se joue pas sur le texte final de la directive NIS2, mais sur la capacité à prouver, ticket d’incident à l’appui, que les systèmes d’information critiques restent disponibles et sûrs malgré la pression croissante des menaces.