NIS2, DORA et le cadre réglementaire européen
Ce que les DSI et RSSI doivent anticiper dès maintenant
L'Union européenne a engagé depuis 2022 une refonte structurelle de son cadre réglementaire en cybersécurité. NIS2 et DORA ne constituent pas un simple durcissement des exigences existantes : ils signalent un changement de philosophie réglementaire dans lequel la cybersécurité cesse d'être un sujet technique pour devenir une composante explicite de la gouvernance d'entreprise, avec une responsabilité personnelle des dirigeants désormais inscrite dans le texte.
La directive NIS2, entrée en vigueur en janvier 2023 avec transposition nationale requise avant octobre 2024, remplace et élargit considérablement la directive NIS1 de 2016. Son périmètre couvre deux catégories d'entités dans dix-huit secteurs d'activité essentiels. Les seuils de taille qui déclenchent l'applicabilité : plus de 50 employés ou plus de 10 millions d'euros de chiffre d'affaires dans un secteur couvert pour les entités importantes, plus de 250 employés ou 50 millions d'euros pour les entités essentielles.
NIS2 impose une cascade de notifications obligatoires. Une alerte précoce doit être émise auprès de l'autorité compétente nationale dans les 24 heures suivant la prise de conscience de l'incident. Une notification d'incident détaillée doit suivre dans les 72 heures avec évaluation initiale de la gravité et des indicateurs de compromission. Un rapport final est attendu dans le mois suivant la résolution de l'incident. Ces délais supposent une organisation capable de détecter rapidement un incident, de l'évaluer et d'activer une chaîne de notification interne et externe. La plupart des organisations qui n'ont pas exercé ce processus en conditions réelles ne peuvent pas respecter la fenêtre des 24 heures.
Le règlement DORA (Digital Operational Resilience Act), applicable depuis janvier 2025, s'adresse spécifiquement aux entités du secteur financier et, de manière significative, aux prestataires de services TIC critiques qui les servent. DORA est un règlement européen d'application directe, sans nécessité de transposition nationale. Sa spécificité réside dans son traitement des tiers : DORA impose une gestion structurée du risque lié aux prestataires technologiques, avec des exigences contractuelles spécifiques, des droits d'audit sur les prestataires critiques et une obligation de notifier les incidents survenant chez un prestataire tiers.
Cette disposition place les grandes ESN (Atos, Sopra Steria, CGI, IBM, Accenture) et les fournisseurs cloud (AWS, Azure, GCP) en position de devoir démontrer leur conformité DORA pour maintenir ou développer leurs contrats avec les institutions financières.
L'article 20 de NIS2 introduit explicitement la responsabilité personnelle des dirigeants des entités essentielles et importantes. Les organes de direction doivent approuver les mesures de cybersécurité, suivre une formation sur la cybersécurité et superviser la conformité aux obligations NIS2. Des sanctions incluant des interdictions temporaires d'exercer des fonctions de direction peuvent être prononcées. Ce niveau de responsabilité personnelle marque une rupture avec l'approche antérieure où la cybersécurité relevait principalement de la responsabilité des équipes techniques.
L'AI Act européen, dont les premières dispositions sont entrées en vigueur en 2024 avec une application progressive jusqu'en 2027, classifie certains systèmes d'IA utilisés dans les infrastructures critiques et la sécurité des SI comme systèmes à haut risque, imposant des exigences de robustesse, de traçabilité et de supervision humaine. Les équipes qui déploient de l'IA dans leurs SOC, leurs systèmes de détection d'anomalies ou leurs outils de contrôle d'accès devront s'assurer de la conformité de ces déploiements.
Le Cyber Resilience Act (CRA), adopté en 2024, introduit des obligations de cybersécurité tout au long du cycle de vie des produits matériels et logiciels comportant des éléments numériques. Il concerne directement les fabricants de dispositifs IoT qui devront certifier la sécurité de leurs produits avant mise sur le marché européen.
Les organisations qui font le choix d'utiliser NIS2 et DORA comme levier pour engager une transformation réelle de leurs pratiques de cybersécurité — avec portage au niveau du COMEX et financement pluriannuel — construisent une résilience opérationnelle mesurable. Elles réduisent leur probabilité d'incident majeur, améliorent leur capacité à répondre quand un incident survient malgré tout, et positionnent leur cybersécurité comme un facteur de différenciation concurrentielle dans les appels d'offres où la maturité cyber des fournisseurs est évaluée.
La tentation de traiter ces textes comme des contraintes réglementaires à minimiser, en construisant une conformité de façade documentaire sans transformation réelle, expose à un risque double : sanction en cas d'incident, et posture de sécurité réelle insuffisante face à un paysage de menaces qui s'intensifie.