NIS2 et DORA : transformer la conformité en résilience opérationnelle

Les cadres réglementaires européens NIS2 et DORA renforcent significativement les exigences en matière de gouvernance, de gestion des risques et de continuité numérique. Leur objectif commun : élever le niveau de protection des infrastructures critiques et des services essentiels. Pourtant, une organisation conforme à ces dispositifs est-elle véritablement capable de faire face à une cyberattaque majeure ou à une rupture de ses activités ?

La conformité : un socle nécessaire mais insuffisant

La conformité aux exigences de NIS2 et DORA permet de structurer les responsabilités, de formaliser les politiques et de conserver les preuves de mise en œuvre des mesures attendues. Elle facilite également le dialogue avec les autorités de supervision et l’identification des exigences applicables. Cependant, la simple existence de procédures, de matrices de risques ou de comptes rendus de contrôle ne suffit pas à garantir une capacité opérationnelle en situation de crise.

La résilience se mesure dans l’action : rapidité de détection, qualité des décisions, maintien des fonctions prioritaires, maîtrise des dépendances et efficacité du rétablissement. Elle repose sur des pratiques réellement appropriées par les équipes, connues des dirigeants et éprouvées lors d’exercices réalistes.

NIS2 : une gouvernance opérationnelle de la cybersécurité

La directive NIS2 vise à instaurer un niveau élevé commun de cybersécurité au sein de l’Union européenne. Elle place la gestion des risques au cœur de la gouvernance et impose des mesures relatives au traitement des incidents, à la continuité des activités, à la gestion des crises, à la sécurité de la chaîne d’approvisionnement, à la gestion des vulnérabilités et à l’authentification renforcée. Les organes de direction doivent s’impliquer directement en approuvant les mesures de gestion des risques et en supervisant leur mise en œuvre.

Pour les dirigeants, cela implique une connaissance approfondie des services essentiels, des scénarios redoutés, des dépendances critiques et des conséquences d’une interruption prolongée. La cybersécurité doit être intégrée aux arbitrages stratégiques, budgétaires et opérationnels.

DORA : tester la résilience opérationnelle numérique

Le règlement DORA applique une logique similaire dans le secteur financier. Il organise la gestion des risques liés aux technologies de l’information et de la communication, la classification et la notification des incidents, les tests de résilience opérationnelle numérique, le partage d’informations et la maîtrise des risques liés aux prestataires de services TIC. Depuis son entrée en vigueur, DORA place la capacité de continuité et de rétablissement au centre du dispositif.

Les tests réguliers doivent couvrir les systèmes critiques, les tiers, les sauvegardes et la communication de crise. Leurs résultats doivent donner lieu à des corrections suivies dans une logique d’amélioration continue. La conformité à DORA suppose de prouver que les fonctions essentielles peuvent être maintenues ou restaurées dans des délais définis.

Une table ronde pour confronter exigences et réalités

Pour éclairer les défis posés par ces cadres réglementaires, une table ronde réunira des experts issus de secteurs variés : Philippe Latombe, député de Vendée, Nouamane Cherkaoui, représentant BPCE-SI, et Auriane Lemesle, du GCS e-Santé Pays de la Loire et de l’APSSIS. Ces secteurs, financiers et sanitaires, illustrent des enjeux communs : systèmes interconnectés, données sensibles et nécessité de maintenir des services dont l’interruption aurait des conséquences majeures.

Animée par Anthony Coquer, directeur général de Lexing Technologies, cette table ronde explorera des questions concrètes : comment distinguer une conformité déclarative d’une résilience démontrée ? Quels indicateurs présenter aux dirigeants ? Comment intégrer les prestataires critiques aux exercices ? À quel moment déclencher le mode dégradé ? Comment arbitrer entre sécurité, disponibilité et rapidité de rétablissement ?

De la conformité à la preuve de résilience

Plusieurs critères permettent de vérifier que la démarche dépasse le simple respect documentaire. Les fonctions essentielles doivent être identifiées et hiérarchisées. L’organisation doit connaître les ressources, applications, données, personnes et prestataires dont elles dépendent. Des objectifs de continuité et de rétablissement doivent être fixés, cohérents avec les besoins métiers.

Les dispositifs doivent être testés dans des conditions réalistes : indisponibilité d’un fournisseur de cloud, compromission d’un compte d’administration, corruption des sauvegardes, interruption des communications ou indisponibilité d’un site. Les exercices doivent impliquer les décideurs et ne pas se limiter aux équipes techniques. Chaque test ou incident doit donner lieu à un retour d’expérience, à un responsable désigné, à une échéance et à une vérification de l’efficacité des mesures correctrices.

Les conformités NIS2 et DORA peuvent ainsi devenir un levier de transformation, à condition d’être utilisées comme un cadre de maturité organisationnelle.

Source : Lexing