Une question, posée sans détour lors d'une table ronde d'experts consacrée à NIS2 et DORA, résume l'enjeu. Une entreprise est-elle réellement capable de continuer à fonctionner après un incident majeur ? DORA fait désormais partie du quotidien du secteur financier. Les organisations concernées par NIS2, elles, composent encore avec les incertitudes de la transposition française. Le constat partagé est net : la résilience ne se résume plus à un plan de reprise, des sauvegardes et des procédures rangées dans un classeur.
La charge de la preuve se déplace
Il ne s'agit plus de produire des documents attestant qu'un dispositif existe. Il faut démontrer qu'il fonctionne en conditions dégradées. Cartographie des actifs et de leurs dépendances, gestion des tiers, tests de reprise réellement exécutés : ces chantiers peuvent être engagés sans attendre le dernier texte publié. Attendre la transposition pour agir revient à confondre le calendrier réglementaire avec celui du risque. Les deux n'ont rien à voir.
La gestion des tiers, chantier central
Pour une DSI, la nature du travail change. La relation aux fournisseurs devient un des principaux fronts. Dans certaines grandes institutions, les clauses contractuelles sont revues une à une pour intégrer les exigences de sécurité imposées aux sous-traitants. Cela suppose de savoir précisément de quels prestataires dépendent les processus critiques, d'imposer des obligations de résultat, et de vérifier régulièrement leur capacité réelle à tenir. Pas une déclaration sur l'honneur. Une vérification.
De la conformité déclarative à la résilience testée
Ces textes fournissent surtout un cadre pour justifier et orienter des dépenses de résilience qui, souvent, auraient dû être engagées de toute façon. La bascule attendue est claire : passer du déclaratif au testé. Des exercices de crise réels, une reprise chronométrée plutôt que supposée. Les organisations qui traitent NIS2 et DORA comme un exercice documentaire passeront l'audit et échoueront le jour de l'incident. Celles qui en font un levier d'organisation en sortiront réellement plus solides.
