La résilience, longtemps, ça a été un plan de reprise et des sauvegardes rangés dans un classeur. Rassurant sur le papier. NIS2 et DORA posent une question nettement moins confortable : l'organisation est-elle réellement capable de continuer à fonctionner après un incident majeur. Pas en théorie. En vrai.
Le vrai chantier est chez les fournisseurs
Le déplacement le plus net porte sur la chaîne de sous traitance. La gestion des tiers devient l'un des principaux chantiers, et pour une raison simple : les dépendances technologiques s'étendent sur plusieurs rangs de fournisseurs. Votre prestataire dépend lui même d'un hébergeur, qui dépend d'un autre acteur. Chaque maillon est un risque hérité.
Concrètement, cela passe par la révision des clauses contractuelles. Sécurité, réversibilité, continuité, ces exigences entrent dans les contrats. Un prestataire capable de démontrer son niveau de résilience transforme d'ailleurs la contrainte en argument commercial. Celui qui ne peut rien prouver devient un risque que le donneur d'ordre assume à sa place.
DORA en avance, NIS2 dans l'incertitude
Les deux textes n'avancent pas au même rythme. DORA est déjà entré dans le quotidien du secteur financier : tests de résilience réguliers, surveillance des fournisseurs critiques, registre du risque. NIS2 progresse encore avec l'incertitude de la transposition française.
Cette incertitude sert parfois d'excuse pour attendre. Mauvais calcul. Cartographie des actifs et des dépendances, analyse de risque, gestion des tiers, immuabilité des sauvegardes, préparation de la reprise. Tous ces chantiers peuvent démarrer sans attendre le moindre décret.
L'indicateur qui compte vraiment
Pour une DSI, le nombre de procédures écrites ne dit rien de la solidité réelle. Ce qui compte, c'est la capacité démontrée à redémarrer quand l'incident survient. La réversibilité inscrite dans un contrat ne vaut que si elle a été éprouvée au moins une fois. Beaucoup d'organisations découvrent, le jour de l'incident, qu'elles n'avaient jamais testé ce qu'elles avaient signé.
