Il aura fallu une attaque d'ampleur contre le fisc pour que le sujet remonte brutalement à la surface. La directive NIS2, censée relever le niveau de sécurité d'un large éventail d'organisations, reste suspendue au calendrier parlementaire. Les attaques, elles, n'ont pas ce genre de délai. Elles arrivent quand elles veulent.
Un décalage qui coûte cher
Le schéma est connu. On traite la conformité cyber comme une contrainte administrative qu'on repousse, jusqu'au jour où un incident majeur transforme le retard accumulé en facture bien réelle. Deux ans de temporisation sur une directive de ce poids, ça finit toujours par se voir. Rarement au bon moment.
NIS2 n'est pas un exercice de paperasse. Elle impose une élévation concrète du niveau de sécurité, des obligations de gouvernance, et une responsabilisation directe des dirigeants face au risque cyber. Le texte déplace le sujet du sous-sol technique vers le comité de direction.
Attendre la loi est une erreur de calcul
Beaucoup d'organisations font le pari de l'attente : on verra quand ce sera voté. Le raisonnement ne tient pas. Les exigences de fond sont déjà largement connues. Analyse de risque sérieuse, mesures de sécurité proportionnées au risque réel, gestion structurée des incidents, maîtrise de la chaîne de sous-traitance. Ces chantiers se comptent en mois, pas en semaines.
Le point le plus sous-estimé reste la sous-traitance. Une organisation peut être irréprochable en interne et rester exposée par un prestataire mal sécurisé. La conformité NIS2 ne s'arrête pas aux murs de l'entreprise, elle englobe ceux à qui l'on confie des pans entiers du système d'information.
Se préparer, indépendamment du calendrier
Les entreprises qui avancent dès maintenant ne font pas que se mettre en règle par anticipation. Elles réduisent leur exposition réelle, tout de suite, quel que soit le rythme des débats parlementaires. C'est là toute la différence entre une lecture bureaucratique du texte et une lecture opérationnelle.
Car l'esprit de NIS2 n'est pas un audit à date fixe qu'on coche puis qu'on oublie. C'est un niveau de sécurité maintenu dans la durée. La bonne question n'est donc pas de savoir quand la loi entrera en vigueur. Elle est de savoir si votre organisation tiendrait le choc si l'attaque tombait ce soir.
