La cybersécurité n'est plus un sujet d'ingénieurs. C'est devenu une obligation légale, avec des sanctions financières et une responsabilité qui remonte jusqu'aux dirigeants. Le basculement est net. Avec NIS2, environ 15 000 entités sont concernées en France. Contre 300 auparavant. Toute organisation de plus de 50 salariés ou 10 millions d'euros de chiffre d'affaires, active dans un secteur critique, entre dans le périmètre, avec un plafond de sanction qui peut atteindre 10 millions d'euros ou 2 pour cent du chiffre d'affaires.
Trois référentiels qui se croisent sans se confondre
Le réflexe serait d'empiler les cadres. Mauvaise idée. Le RGPD protège la donnée personnelle, NIS2 sécurise les infrastructures et impose une gouvernance des incidents et de la chaîne d'approvisionnement, ISO 27001 fournit la méthode pour structurer un système de management. Ils se recoupent dans un audit, mais ne demandent pas la même chose ni au même niveau. Conduire trois audits en silos, c'est payer trois fois pour cartographier les mêmes contrôles d'accès, les mêmes journaux, les mêmes dépendances fournisseurs. Le gain est ailleurs : dans l'alignement, pas dans l'accumulation.
Le déplacement de responsabilité change tout
NIS2 crée un niveau de responsabilité directe des organes de direction. Là où le RGPD faisait plutôt porter la charge sur le DPO ou le responsable de traitement, la nouvelle directive vise explicitement les dirigeants. Ça n'est pas un détail de gouvernance. Le contrôle technique ne suffit plus à cocher la case. Ce sont désormais la revue de direction, le pilotage des prestataires et les protocoles d'escalade qui deviennent le cœur de la conformité. Le RSSI documente, mais l'arbitrage du risque résiduel remonte au board.
L'illusion de l'attestation
Voici le piège que la logique d'audit entretient sans le dire. Une organisation peut passer son audit et rester fragile. Parce que l'audit atteste l'existence de politiques, il ne teste pas toujours leur exécution réelle en conditions d'incident. La conformité vérifiée à l'instant T n'est pas la résilience dans la durée. Autrement dit, l'audit doit tester la réalité d'exécution, pas seulement la présence d'un document dans un classeur. Pour une DSI, l'enjeu n'est donc pas de collectionner les certificats. Il est de construire une supervision vivante, capable de prouver que les procédures fonctionnent quand elles sont sollicitées. Pas seulement quand elles sont écrites.
