NIS2 : les trois obligations que tout le monde minimise
Vous avez lu le texte. Vous avez coché les cases. Votre déclaration de conformité est prête. Et pourtant, dans six mois, votre audit révélera des failles que ni vous ni votre CISO n'aviez identifiées. Qu'est-ce qui a échappé au radar ?
Le NIS2 n'est pas une checklist. C'est une mutation de notre rapport à la cybersécurité, et trois de ses exigences sont systématiquement sous-estimées — pas par ignorance technique, mais parce qu'elles heurtent nos habitudes organisationnelles. Je les ai vues passer au travers chez des acteurs pourtant avertis, des infrastructures critiques aux opérateurs de services essentiels. Voici ce que le décret belge d'octobre 2024 rend incontournable, et pourquoi cela change tout.
La gouvernance, pas la technique
Première illusion : penser que la sécurité opérationnelle suffit. Le NIS2 exige une gouvernance à trois niveaux — direction, CISO, et management — avec une responsabilité personnelle des dirigeants en cas d'incident majeur. Ce n'est plus une question de budget IT. C'est une question de culture du risque au conseil d'administration.
J'ai assisté à des réunions où la cybersécurité tenait quinze minutes en fin d'ordre du jour. Ce temps est révolu. L'article 20 impose une supervision active, des ressources dédiées, et une formation continue. Le décret belge précise : absence de mesures = responsabilité pénale des mandataires. Votre CA est-il prêt à signer une attestation de prise de conscience ?
La chaîne logistique, pas votre périmètre
Deuxième angle mort : vos fournisseurs. Le NIS2 étend l'obligation de sécurité à toute la chaîne de valeur. Vos sous-traitants, vos hébergeurs cloud, vos éditeurs de logiciels — vous devez en garantir la résilience.
Dans mon environnement, cela prend une forme concrète. Mon GPU local, une RTX 4070 Ti de 12 Go, héberge des services critiques via Ollama et LiteLLM. Aucun cloud externe pour l'inférence sensible. Mais mes conteneurs Docker ? Ils tirent des images de registres que je ne contrôle pas. Ma base vectorielle Qdrant ? Je dois en vérifier les mises à jour de sécurité comme je le ferais pour un équipement réseau. Le NIS2 me rend responsable de cette chaîne, même lorsque je déploie en interne.
Le décret belge parle d'évaluation des risques liés aux relations de fourniture. Traduction opérationnelle : inventorier, classer, contractualiser, vérifier. Combien d'entreprises ont une cartographie complète de leurs dépendances tierces ?
L'incident, pas l'attaque
Troisième mécompréhension : confondre détection d'intrusion et gestion d'incident. Le NIS2 impose des obligations de notification strictes — 24 heures pour l'alerte initiale, 72 heures pour le rapport détaillé, un mois pour le rapport final. Ces délais sont irréductibles.
Mais le vrai défi n'est pas bureaucratique. Il est organisationnel. Avez-vous testé votre chaîne de crise ? Vos procédures d'escalade fonctionnent-elles un samedi soir ? Votre CISO peut-il joindre votre hébergeur cloud à 3 heures du matin ?
Je gère mon infrastructure domestique comme un laboratoire de résilience. Whisper sur CPU pour l'OCR, paperless-AI pour la classification, un auto-classifieur de Gmail — chaque service a un propriétaire, une procédure de secours, un temps de récupération cible. À l'échelle d'une entreprise, cette discipline est rare. Le NIS2 l'impose.
L'Europe contre elle-même ?
Une tension traverse le décret belge : ambition européenne, réalité nationale. La transposition laisse une marge d'interprétation que les États membres exploitent différemment. L'Allemagne durcit. La France précise. La Belgique ? Elle crée un cadre, mais la mise en œuvre opérationnelle reste en construction.
Nous préférons éviter les vérités inconfortables : le NIS2 coûte cher, demande des compétences rares, et expose juridiquement ceux qui ne s'y conformeraient pas. L'ANSSI belge, reconfigurée en Centre de Cybersécurité, manque de moyens pour accompagner. Les entreprises moyennes, elles, manquent de CISO.
Et pourtant, c'est maintenant. La période de transition se rétrécit. Les premières sanctions — jusqu'à 1% du chiffre d'affaires mondial — ne sont plus théoriques.
À nous de jouer
Qu'est-ce qui bloque chez vous ? La gouvernance, la chaîne logistique, ou la réactivité incident ? Chacun de ces trois leviers demande des ressources, du temps, une culture du risque que nos organisations n'ont pas cultivée.
Mais le NIS2 a aussi une vertu : il oblige à la clarté. Plus d'excuses, plus de déni. La cybersécurité devient un sujet de direction, de stratégie, de survie.
Parler. Partager. Confronter. Comment avancez-vous sur ces trois fronts ?
Originally published at articles.savethemall.eu.
🤖 Written with AI assistance, reviewed and approved before publication. Editorial responsibility: Frédéric Guariento. How it works
Top comments (0)