NIS2 en France : pourquoi les dirigeants doivent se préparer dès maintenant

NIS2 n'est plus un sujet réservé aux DSI. Avec le futur référentiel RECYF, la cybersécurité devient un enjeu de gouvernance, de responsabilité et de résilience pour les directions générales.

Pour un DGS de collectivité ou un directeur général de PME, la question ne se limite plus à « Sommes-nous suffisamment protégés ? ». Elle devient : « Sommes-nous capables de démontrer que nous maîtrisons notre risque cyber et que nous saurons continuer à fonctionner en cas d'attaque ? »

RECYF : de la directive européenne à l'action concrète

Le projet RECYF, élaboré par l'ANSSI dans le cadre de la transposition française de NIS2, traduit les exigences européennes en objectifs de sécurité concrets. Il couvre la gouvernance de la cybersécurité, la connaissance des systèmes et des prestataires, la gestion des accès et des identités, la détection et la gestion des incidents, les sauvegardes et la reprise d'activité, la continuité d'activité, ainsi que la gestion de crise cyber et les exercices.

Autrement dit, il ne suffit plus d'avoir un prestataire informatique ou un antivirus. La direction doit être en mesure de démontrer que l'organisation maîtrise son risque numérique.

Êtes-vous réellement concerné ?

Le périmètre de NIS2 est large : santé, transport, énergie, eau, déchets, industrie, numérique, administration publique et de nombreux autres secteurs. Certaines collectivités, établissements publics, hôpitaux, PME industrielles ou entreprises de transport peuvent être directement concernés.

Mais l'effet de NIS2 va plus loin. Une entreprise qui n'est pas directement soumise à la directive peut être impactée par les exigences de ses clients ou donneurs d'ordre. Pour un sous-traitant, la cybersécurité peut progressivement devenir une condition d'accès ou de maintien sur certains marchés.

Ce que cela change concrètement pour un DGS ou un directeur général

La cybersécurité ne peut plus être considérée comme un sujet exclusivement technique. La direction doit pouvoir répondre à cinq questions simples.

Que devons-nous protéger ? Avons-nous une vision claire de nos systèmes, données et prestataires critiques ? Quels sont nos principaux risques ? Avons-nous identifié les scénarios susceptibles de paralyser notre activité ? Que se passe-t-il si nous sommes attaqués demain matin — qui décide, qui alerte, qui coordonne, qui communique ? Combien de temps pouvons-nous fonctionner en mode dégradé, et nos sauvegardes ont-elles réellement été testées ? Avons-nous déjà entraîné nos équipes — car une procédure jamais testée reste, dans une crise réelle, une hypothèse.

La conformité ne suffit pas : la résilience s'entraîne

Une organisation peut disposer de nombreuses mesures techniques et pourtant être incapable de gérer correctement les premières heures d'une cyberattaque. Qui prend la direction de la crise ? Qui contacte les prestataires ? Qui décide de couper un système ? Qui informe les élus, les salariés, les clients ou les usagers ? Qui prend la parole publiquement ? Comment fonctionne la cellule de crise si les messageries et les téléphones habituels ne sont plus disponibles ?

Ces questions ne se résolvent pas le jour de l'attaque. Elles se préparent — et surtout, elles se testent.

Pourquoi ne pas attendre le décret final ?

Le RECYF est encore susceptible d'évoluer et le calendrier réglementaire peut changer. Mais attendre le texte définitif pour commencer à se préparer serait une erreur stratégique. Cartographier les systèmes, identifier les dépendances critiques, formaliser la gouvernance, construire une organisation de crise et réaliser un premier exercice prennent du temps.

Les organisations qui anticipent auront un avantage décisif : elles pourront adapter progressivement leur dispositif aux exigences définitives, plutôt que devoir tout construire dans l'urgence.

Commencer par un état des lieux

Avant de parler de conformité, il faut savoir où l'on en est. Un premier diagnostic permet de répondre simplement à la question suivante : « Si une cyberattaque majeure survenait demain, notre organisation serait-elle capable de continuer à fonctionner et de prendre les bonnes décisions ? » C'est à partir de cette réponse que doit se construire le plan d'action.

L'approche Crisea Conseil : de la conformité à la capacité opérationnelle

La particularité de Crisea Conseil est de ne pas traiter la cybersécurité sous le seul angle technique. Une cyberattaque devient rapidement une crise globale : elle touche les systèmes d'information, mais aussi la continuité d'activité, les équipes, les décideurs, les partenaires, les usagers ou les clients, et parfois l'image de l'organisation.

Crisea Conseil intervient à l'interface de trois expertises complémentaires : la cybersécurité, la gestion de crise et la communication de crise. Cette approche permet de passer de la question « sommes-nous conformes ? » à une question beaucoup plus opérationnelle : « Sommes-nous capables de prendre les bonnes décisions, de maintenir notre activité et de communiquer efficacement lorsque nos systèmes sont attaqués ? »

Crisea Conseil ne se substitue pas à votre DSI ou à votre prestataire informatique. Nous apportons le regard complémentaire indispensable pour préparer l'organisation à ce qui se passe lorsque la protection technique ne suffit plus et que la direction doit gérer la crise.

Notre objectif : vous aider à passer de la conformité réglementaire à la résilience opérationnelle. Car le jour où la crise survient, ce ne sont pas les procédures qui prennent les décisions. Ce sont les femmes et les hommes qui ont été préparés et entraînés à les prendre.

NIS2 vous concerne peut-être déjà. La question n'est plus de savoir si vous serez concerné. La question est de savoir si vous serez prêt.