NIS 2 a placé le risque cyber à l’ordre du jour personnel du conseil.

NIS 2 est une directive sur la résilience opérationnelle, et elle est écrite pour être inspectée. Elle attend que l’organe de direction assume le risque cyber, un ensemble de mesures de gestion du risque réellement en place, un traitement des incidents qui respecte une horloge de signalement définie, une supervision des fournisseurs dont vous dépendez, et la preuve que tout cela est réel. L’écart entre « nous avons une mesure » et « la mesure fonctionne, quelqu’un en est responsable et nous pourrions le démontrer à un superviseur » est l’endroit où vit la préparation.

Cette responsabilité est personnelle d’une manière que les régimes antérieurs n’imposaient pas : elle incombe à l’organe de direction, sans pouvoir être déléguée à l’informatique. La préparation doit donc produire deux choses à la fois — des contrôles et des processus qui survivraient à un incident réel, et un enregistrement de gouvernance qui montre que le conseil les supervise. Nous construisons pour les deux, car un programme qui satisfait l’un et pas l’autre échoue au test que la directive pose réellement.

Chaque mission se déroule de la même manière, calibrée sur votre situation actuelle :

Cartographier les contrôles et processus actuels. Nous évaluons ce que vous avez réellement — gouvernance, mesures, traitement des incidents, supervision des fournisseurs et les preuves sous-jacentes — et renvoyons une image honnête au regard des attentes alignées sur NIS 2.

Identifier les écarts. Nous repérons où vous restez en deçà de ce qu’attend la directive, en reliant chaque écart à l’obligation précise qu’il concerne.

Prioriser par le risque opérationnel. Nous classons les écarts selon ce qu’ils vous coûteraient réellement sur le plan opérationnel et selon l’exposition au superviseur, pour qu’un calendrier contraint referme d’abord ce qui compte.

Construire le plan d’action et le modèle de preuve. Nous mettons en place la manière dont la preuve est produite et tenue à jour, et transformons les écarts en un plan avec un responsable désigné plutôt qu’en une liste de constats.

Préparer la direction et les responsables techniques. Nous préparons l’organe de direction aux échanges de gouvernance et les responsables techniques aux échanges opérationnels, pour que la responsabilité atterrisse là où la directive la place.

Ceci s’inscrit dans notre pratique plus large de conseil GRC, pour que là où NIS 2 recoupe vos travaux ISO 27001 ou DORA, les preuves soient réutilisées plutôt que reconstruites. Vous pouvez lire le cycle complet sur notre page méthodologie.

Nous livrons une préparation concrète en cybersécurité et en gouvernance — évaluer les mesures, cartographier le risque fournisseur, tester le signalement des incidents, et construire les preuves et le plan. Nous ne donnons pas de conseil juridique. Là où NIS 2 soulève une question juridique — comment une obligation doit être interprétée pour votre situation exacte, ce qu’un contrat fournisseur doit stipuler, ce qui constitue un incident important dans un cas contesté — c’est le travail de votre conseil juridique, et nous l’appuyons plutôt que de prétendre le remplacer.

La vérification d’applicabilité que nous menons est une étape de cadrage pratique destinée à vous indiquer quelles obligations anticiper ; ce n’est pas une détermination juridique, et nous le dirons clairement. Là où une interprétation juridique est requise, nous travaillons aux côtés de vos juristes — ils détiennent la position juridique, et nous rendons opérationnelles la sécurité et la gouvernance qui la sous-tendent.