Un partage des rôles qui évolue
Pendant longtemps, la cybersécurité relevait de la DSI. La direction financière validait, ou rabotait, un budget. DORA et NIS2 bousculent ce schéma. Le risque numérique entre dans le pilotage financier et dans la gouvernance.
DORA, déjà en vigueur
Le règlement DORA s'applique depuis le 17 janvier 2025. Il concerne notamment les établissements de crédit, les entreprises d'investissement, les établissements de paiement et certains assureurs. Gestion des risques liés aux technologies de l'information, gestion des incidents, tests de résilience, encadrement des prestataires : le champ est large.
Son article 5 est sans ambiguïté. L'organe de direction est le responsable ultime de la gestion de ces risques. Il définit, approuve et supervise le dispositif. Il valide la stratégie de résilience et fixe le niveau de tolérance au risque.
NIS2, même logique
La directive NIS2 suit le même raisonnement pour les entités essentielles et importantes. Les dirigeants approuvent les mesures, en supervisent la mise en œuvre, peuvent être tenus responsables des manquements, et doivent se former. En France, la transposition attend toujours l'adoption du projet de loi Résilience.
Attention, les deux textes ne se superposent pas simplement. Certaines entités financières relevant de DORA bénéficient d'un régime spécifique au regard de NIS2. Qualifier son périmètre reste le préalable.
La donnée financière au service du risque
Concrètement, la direction financière apporte ce qui manque souvent au dossier cyber : des chiffres. Coût d'une interruption d'activité. Exposition financière liée à un prestataire défaillant. Hiérarchisation des investissements selon leur effet sur le risque.
Et la question des fournisseurs. Une panne chez un prestataire de cloud ou de logiciel financier peut bloquer paiements, facturation, comptabilité, accès aux données de pilotage. Les contrats doivent encadrer précisément les services, les responsabilités et le suivi.
Croiser deux sources de vérité
Un exercice simple révèle souvent beaucoup. Rapprocher la liste des fournisseurs informatiques issue de la comptabilité et l'inventaire tenu par la DSI. Les écarts sont rarement nuls. Ils montrent des dépendances que personne ne pilotait.
Le bon modèle n'est pas un transfert de responsabilité. C'est un pilotage partagé, où la finance mesure et priorise, et où la DSI maîtrise les dépendances et les mesures techniques.
