Une bascule que beaucoup d'organisations n'ont pas encore vue venir tient dans une nuance. NIS2 ne se contente pas d'une conformité affirmée. Elle réclame une conformité démontrable, celle qui tient devant un contrôle. Perçue ne suffit plus. Prouvée devient la règle.
Trois piliers, et un article qui change la donne
Le texte s'organise autour de trois axes : la gouvernance, la gestion des risques, la notification des incidents. Rien de révolutionnaire en apparence. Ce qui change vraiment se trouve à l'article 20. Les dirigeants doivent approuver les politiques de sécurité, veiller à leur mise en œuvre effective, et se former eux mêmes.
Le point sensible est là. La responsabilité personnelle du dirigeant peut être engagée. Sanctions administratives, et jusqu'à des interdictions temporaires d'exercice en cas de manquement grave. La cybersécurité quitte le périmètre strictement technique pour s'inviter au niveau de la direction générale. Un sujet de comité de direction, plus seulement de salle serveur.
Ce que "démontrable" veut dire concrètement
Une politique de sécurité rédigée, validée, rangée quelque part, mais que personne ne peut prouver réellement appliquée, ne vaut rien le jour d'un contrôle. C'est tout le déplacement. Ce qui compte désormais, c'est la traçabilité. La preuve d'exécution. La capacité à montrer, pièces à l'appui, que la mesure annoncée est en place et tenue dans le temps.
Ça déplace la charge de travail des équipes. Sécuriser ne suffit plus. Il faut documenter en parallèle, en continu, et pouvoir sortir la preuve à tout moment.
Un chantier de gouvernance avant d'être technique
Pour une DSI, l'erreur serait de traiter NIS2 comme une simple montée en sécurité. Le vrai chantier est ailleurs. Il consiste à construire, au fil de l'eau, un dispositif de preuve opposable. La conformité ne se prépare pas la veille d'un audit. Elle s'accumule, jour après jour, dans les outils de gouvernance et de gestion des politiques. Les organisations qui attendront le contrôle pour rassembler leurs preuves découvriront l'ampleur du retard trop tard.
