NIS 2, REC, DORA : la fin du sursis pour les organisations françaises

Pendant près de deux ans, la transposition des directives NIS 2 et REC en droit français et la mise en œuvre du règlement DORA ont été traitées comme un dossier technique : un texte annoncé puis reporté, une échéance européenne glissant de mois en mois. Cette parenthèse se referme, et les organisations ne peuvent plus attendre.

Auditionnée par la commission spéciale de l’Assemblée nationale, Anne Le Hénanff, ministre chargée du Numérique, a rappelé que la menace n’a pas attendu le législateur. Des incidents ont récemment visé des administrations stratégiques, dont l’ANTS et la DGFIP. Le risque concerne désormais toute organisation dont l’activité repose sur le numérique, de la commune rurale au groupe international.

La cybersécurité, enjeu de gouvernance

Beaucoup d’organisations justifiaient leur attentisme par l’absence de loi définitive. L’argument s’affaiblit : les textes européens sont publiés, les principales obligations identifiées, et l’ANSSI a mis à disposition une grande partie des référentiels permettant d’anticiper la conformité.

Le changement central tient à la place de la cybersécurité, qui rejoint la gestion financière, la conformité et les ressources humaines parmi les responsabilités directes des dirigeants. La conformité ne consistera plus à montrer des moyens installés, comme un antivirus ou une politique de mots de passe. Il faudra prouver que l’on sait identifier et piloter ses risques, détecter et déclarer les incidents, puis rétablir rapidement l’activité. La résilience devient la notion cardinale, et elle exige du temps, de la méthode, une documentation solide et des exercices réguliers.

Collectivités et charge de travail

Les débats parlementaires ont relayé les inquiétudes des collectivités, souvent limitées en moyens et en compétences. Elles détiennent pourtant des données sensibles, rendent des services essentiels et peuvent constituer le maillon faible d’un écosystème plus vaste, d’où l’élargissement du champ des entités concernées par l’Union européenne.

Cartographies des risques, plans d’action, audits, preuves documentaires, notifications d’incidents : face à ce volume, la gestion artisanale atteint vite ses limites. Comme avec le RGPD, où les plus matures sont passés des tableurs aux plateformes de gouvernance, la conformité cyber s’oriente vers un pilotage continu. De nombreuses administrations doivent aussi gérer l’homologation de sécurité, renforcée par le décret 2022-513.