Le message qui ressort d'une table ronde d'experts est direct. NIS2 et DORA n'apportent pas une recette technologique unique. Ils obligent à relier dans une même mécanique de résilience la cartographie, les identités, les données, les fournisseurs, les sauvegardes, les correctifs, les décisions de direction. Et un constat, partagé, met mal à l'aise : beaucoup d'entreprises ne connaissent pas assez leur propre système d'information. Applications oubliées, ressources cloud créées à la volée, dépendances qui relient un composant secondaire à un processus vital.
La cartographie, maillon manquant
C'est le point faible structurel. Le shadow IT, les ressources cloud provisionnées sans contrôle, les chaînes de sous-traitance rendent le périmètre réel du SI flou. Or toute la logique de résilience repose sur la connaissance de ce périmètre. On ne protège bien que ce qu'on a recensé. On ne priorise, on ne restaure bien que ce qu'on connaît. Le reste relève de l'espoir, pas de la sécurité.
Pourquoi cela réordonne les priorités
Investir dans des outils de détection avancés ou des dispositifs de reprise sophistiqués a peu de sens tant que l'inventaire des actifs et de leurs dépendances n'est pas fiable. La cartographie n'est ni la partie visible ni la plus gratifiante du chantier NIS2. C'est pourtant celle qui conditionne l'efficacité de toutes les autres. Et celle qui révèle les dépendances cachées, ces composants secondaires dont la panne paralyse un processus métier entier.
Un catalyseur, à condition de la maintenir vivante
NIS2 mérite d'être traitée comme un catalyseur de maturité plutôt que comme une case à cocher. Ceux qui la voient comme une simple contrainte ont déjà pris du retard. Faire de la cartographie un actif dynamique, tenu à jour, partagé entre sécurité, exploitation et métiers, transforme une obligation en avantage durable. Une cartographie faite une fois pour l'audit et jamais actualisée ne protège de rien. Elle rassure sur le papier. Rien de plus.
