NIS2 pour les cabinets : ce qui change

NIS2 répartit les organisations régulées entre entités « essentielles » et « importantes », sur un large ensemble de secteurs, avec des seuils de taille qui font entrer des entreprises de taille moyenne que NIS1 ignorait. À l'énergie, aux transports, à la santé et à l'infrastructure numérique s'ajoutent l'industrie, l'agroalimentaire, les déchets et les fournisseurs de services managés.

Le vrai choc, pour beaucoup, c'est la chaîne d'approvisionnement. Même si vous n'êtes pas directement régulé, un client régulé vous fait entrer via ses propres obligations.

L'article 21 énonce des mesures de gestion des risques : correctifs et traitement des vulnérabilités, sécurité réseau, contrôle d'accès, chiffrement, gestion des incidents, et test de l'efficacité de tout cela. Le signalement des incidents s'accompagne d'horloges serrées, une alerte précoce dans les 24 heures suivant la prise de connaissance.

Rien d'exotique pour une équipe sécurité. Ce qui change, c'est que cela devient un devoir démontrable, avec une direction responsable, plutôt qu'un effort au mieux.

La sécurité de la chaîne d'approvisionnement est explicite dans la directive, ce qui signifie que vos clients régulés vont répercuter des exigences sur vous. Attendez-vous à des questionnaires, à ce qu'on vous demande des preuves, et à ce que cela devienne une condition du contrat.

Les cabinets qui gèrent bien cela en font un avantage commercial : ils produisent la preuve sur demande au lieu de la chercher en urgence.

Aucun scan ni rapport ne vous rend « conforme NIS2 », et quiconque le vend en fait trop. Ce que vous pouvez produire, c'est une diligence démontrable : des findings techniques rattachés aux mesures pertinentes, corrigés et re-testés dans le temps.

C'est l'artefact honnête, une trace montrant que les mesures techniques ont été évaluées et suivies d'effet, présentée comme une preuve pour un évaluateur plutôt qu'un certificat.