NIS2 et DORA : plan de démarrage pragmatique pour vos équipes

NIS2 vs DORA: ce qui change concrètement

NIS2 et DORA sont souvent cites ensemble, parfois confondus, et presque toujours percus comme une montagne réglementaire. Le bon point de depart est de distinguer leur logique. NIS2 renforce les exigences de cyber résilience pour des entites consideres essentielles ou importantes dans de nombreux secteurs. DORA, lui, cible plus precisement la résilience opérationnelle numerique dans le secteur financier et son ecosysteme.

Dans les deux cas, le message est identique: il ne suffit plus d'avoir des politiques ecrites. Les organisations doivent demontrer des capacités opérationnelles: gouvernance active, gestion des risques, detection, reaction, reprise, gestion des tiers, et preuve de maîtrise. On passe d'une conformité de declaration a une conformité d'exécution.

Pour les directions générales, cela signifie que la cyber n'est plus un sujet purement technique. C'est un sujet de continuité d'activité, de relation client, de responsabilité de gouvernance et de performance durable. Pour les DSI et RSSI, l'enjeu est de transformer les obligations en dispositif de pilotage concret.

Impacts organisationnels sur DSI, RSSI, métiers

L'impact principal de NIS2/DORA est organisationnel. Les roles doivent être clarifies, les circuits de décision raccourcis, et les responsabilités de preuve formalisées. Une politique SSI non reliee aux operations ne suffit pas. Il faut des processus qui tournent: gestion des vulnerabilites, réponse aux incidents, tests de continuité, évaluation des tiers, reporting direction.

Pour les métiers, le changement est egalement fort. Ils deviennent co-acteurs de la résilience, car les incidents cyber produisent d'abord des impacts business: rupture de service, retard de production, indisponibilite d'information, perte de confiance client. Les métiers doivent donc participer aux exercices de crise, a la priorisation des actifs critiques et aux décisions de reprise.

Pour la direction, la nouvelle responsabilité est d'arbitrer explicitement les risques. Accepter un risque sans trace n'est plus defendable. Il faut documenter les choix, les plans de mitigation et le suivi. Cette discipline est exigeante, mais elle renforce la robustesse globale de l'organisation.

Plan 90 jours pour lancer la conformité

Jours 0-30: cadrage et visibilite

Première action: nommer un sponsor direction et un pilote opérationnel. Sans ce duo, le programme reste theoretique. Deuxième action: cartographier les actifs et processus critiques. Troisième action: lancer un diagnostic rapide des contrôles existants et des écarts majeurs.

En parallele, définissez un tableau de bord minimal: risques critiques, incidents significatifs, actions en retard, niveau de couverture des contrôles essentiels. L'objectif n'est pas la precision absolue, mais la capacité de piloter.

Jours 30-60: priorisation et plans

Construisez un backlog de chantiers priorisés: gouvernance, detection, réponse incident, continuité, tiers, sensibilisation. Pour chaque chantier: responsable, objectif, jalons, preuves attendues. Assurez-vous que chaque action soit rattachee a un risque concret.

Mettez ensuite en place un rituel de comite mensuel. Les décisions doivent être tracées: risque accepte, risque traite, risque transfere. Cette traçabilite est essentielle pour la credibilite du dispositif.

Jours 60-90: exécution et preuve

Lancez des actions visibles et mesurables: MFA et durcissement acces privilegies, tests de restauration, revue tiers critiques, scénarios d'alerte, exercice de crise table-top. Documentez les résultats, les écarts et les corrections. Au terme de 90 jours, vous devez pouvoir montrer que le programme existe dans les faits, pas seulement dans les slides.

Politiques et contrôles a prioriser

Les organisations se perdent souvent dans la redaction de nombreux documents. Il vaut mieux commencer par peu de politiques, mais des politiques appliquees. Priorités classiques:

• Gouvernance risques cyber et responsabilités.
• Gestion des identités et acces.
• Gestion des vulnerabilites et patching.
• Gestion des incidents et communication.
• Continuite/reprise et tests.
• Gestion des tiers critiques.

Chaque politique doit être reliee a des contrôles concrètement vérifiables. Exemple: politique d'acces -> revues trimestrielles des droits, journalisation des comptes admin, délai de suppression comptes sortants. Ce lien politique-controle-preuve est la clé d'une conformité defendable.

Comment eviter les projets "papier"

Un projet "papier" se reconnait vite: beaucoup de documentation, peu d'indicateurs, peu de tests, faible appropriation métier. Pour l'eviter, adoptez quatre principes.

Premier principe: une action = une preuve attendue. Si vous ne savez pas quelle preuve produire, l'action est mal définie. Deuxième principe: une revue direction mensuelle basee sur un tableau court et stable. Troisième principe: integration au pilotage projet AMOA SI, pour que les exigences résilience soient prises des la conception. Quatrieme principe: exercices reguliers, car la résilience se vérifié en situation.

La conformité devient alors une consequence de la maturite opérationnelle, et non une fin bureaucratique.

Tableau de pilotage direction

Un bon tableau direction ne doit pas depasser une page. Il peut contenir:

• Top 10 risques residuels avec tendance.
• Avancement des chantiers prioritaires.
• Incidents majeurs et lecons apprises.
• Niveau de couverture des contrôles critiques.
• Etat des tiers critiques (évaluation, plans de remediation).
• Résultats de tests de continuité et exercices de crise.

Chaque indicateur doit appeler une décision. Si un indicateur ne declenche jamais de discussion ni d'arbitrage, il est inutile.

Articulation avec RGPD, qualité et performance SI

NIS2 et DORA ne vivent pas en silo. Ils se connectent naturellement au RGPD, a la qualité et a la performance SI. Les incidents cyber ont souvent des consequences sur les données personnelles, les SLA et la satisfaction utilisateur. Une gouvernance unifiee permet d'eviter la duplication des comites et des reportings.

Concrètement, vous pouvez aligner:

• La cartographie des actifs critiques avec le registre des traitements.
• Les plans de continuité avec les processus qualité.
• Les exigences fournisseurs cyber avec les clauses contractuelles RGPD.
• Les KPI cyber avec les KPI service (disponibilité, délais, incidents).

Cette integration est particulierement utile en ETI, ou les obligations multiplies peuvent saturer les équipes. En harmonisant les dispositifs, vous reduisez la charge administrative et augmentez la lisibilite decisionnelle.

Cadrer un programme de résilience numérique

Pour une organisation fortement dépendante du numérique, le cadrage relie les initiatives existantes à une gouvernance commune. Les responsabilités, les priorités et le calendrier sont définis selon les obligations applicables et les contraintes opérationnelles.

Les travaux peuvent couvrir l’inventaire des actifs critiques, les accès privilégiés, la gestion des incidents, les exercices de crise et les prestataires majeurs. Chaque action précise la preuve attendue et son responsable.

La progression se vérifie à partir des contrôles réalisés et des preuves disponibles, sans déduire une conformité acquise ou un délai de réalisation garanti.

FAQ rapide

Faut-il traiter NIS2 et DORA dans deux programmes separes ?

Pas necessairement. Un socle commun de résilience peut couvrir une grande partie des exigences, avec des ajustements sectoriels.

Quel est le premier livrable utile ?

Une cartographie des actifs critiques et un backlog de chantiers priorisés avec responsables et preuves.

Qui doit porter le programme ?

Un sponsor direction et un pilote opérationnel, en lien etroit avec DSI/RSSI, métiers et fonctions conformité.

Pour aller plus loin

Pour transformer ces exigences en exécution, consultez Cyber sécurité et AMOA SI. Pour les enjeux de segment de marche, la page Public, PME et ETI donne des reperes utiles. Et si vous souhaitez cadrer une trajectoire adaptee, contactez-nous via Contact OLING.

Un dernier conseil pratique: commencez petit, mais commencez visible. La dynamique de preuve cree l'adhesion interne et facilite les arbitrages suivants.