La directive NIS2 et le règlement DORA redessinent le paysage de la cybersécurité européenne. Loin d’être de simples contraintes administratives, ces textes imposent une refonte stratégique de la gouvernance informatique et engagent désormais la responsabilité directe des comités de direction.
1. Êtes-vous une Entité Essentielle ou Importante ?
Le premier enjeu est de qualifier votre assujettissement. Contrairement à la première itération (NIS1) qui ciblait principalement les Opérateurs d’Importance Vitale (OIV), la directive NIS2 élargit drastiquement son périmètre.
Elle intègre désormais des milliers d’ETI et de PME qualifiées de Supply Chain critique (sous-traitants informatiques, laboratoires, gestionnaires de déchets, etc.). L’audit initial (Gap Analysis) est l’étape indispensable pour évaluer précisément vos obligations.
2. Le risque pénal pour les dirigeants
L’une des avancées majeures de ces textes est l’implication des organes de direction. En cas de manquement grave aux obligations de sécurisation ou de non-signalement d’un incident cyber sous 24h, les dirigeants s’exposent à :
- Des sanctions financières (jusqu’à 10 millions d’euros ou 2% du CA mondial).
- Des suspensions temporaires de certification.
- Des interdictions temporaires d’exercer des fonctions de direction.
3. La méthode Mestis : convergence et anticipation
Pour éviter les surcoûts liés à une mise en conformité précipitée (où les intégrateurs facturent des “primes d’urgence”), nous recommandons une approche structurée par les risques, calquée sur les standards ISO 27005 ou EBIOS Risk Manager.
L’objectif n’est pas de tout sécuriser aveuglément, mais d’identifier les actifs critiques et d’y appliquer des mesures de défense en profondeur proportionnées. En mutualisant les contrôles, un seul effort d’ingénierie peut répondre à la fois à NIS2, DORA et au RGPD.
Vous souhaitez qualifier votre assujettissement ou structurer votre gouvernance ? Discutons de votre feuille de route stratégique.