Une direction des systèmes d'information qui traite NIS2, DORA, le Cyber Resilience Act, eIDAS 2 et DSP2 comme cinq sujets distincts ouvre cinq chantiers, mobilise cinq interlocuteurs et produit cinq dossiers. Une direction qui lit leur intersection en ouvre un seul.
Ces textes ne se citent pas, ne partagent pas de vocabulaire et ne visent pas les mêmes entités. Ils convergent néanmoins vers un petit nombre de propriétés d'architecture, qu'aucun d'entre eux n'énonce seul. C'est cette intersection qui est décidable ; les textes pris un à un ne le sont pas.
Cette lecture est opérationnelle et ne constitue pas un avis juridique. La qualification de votre entité et l'étendue de vos obligations relèvent de vos conseils et des textes de transposition.
Ce que chaque texte demande, et ce qu'il laisse ouvert
| Texte | Ce qu'il porte sur l'authentification | Ce qu'il ne dit pas |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | authentification multifacteur ou continue, traçabilité, gestion du risque fournisseur | quelle méthode, quel niveau par parcours |
| DORA — règlement (UE) 2022/2554 | maîtrise démontrable des prestataires, résilience opérationnelle | comment prouver un acte contesté |
| CRA — règlement (UE) 2024/2847 | sécurité dès la conception, pas de mot de passe par défaut, maintien en sécurité | ce que l'exploitant doit faire du produit |
| eIDAS 2 — règlement (UE) 2024/1183 | portefeuille européen d'identité, attestations qualifiées | comment un service doit accepter une assertion |
| DSP2 — directive (UE) 2015/2366 | deux facteurs distincts, lien dynamique montant et bénéficiaire | rien hors du champ du paiement |
Le paquet DSP3 / PSR est encore en processus législatif européen : rien n'en est applicable, et il n'entre pas dans le raisonnement ci-dessous autrement que comme direction observable.
Les quatre propriétés qui émergent de l'intersection
Aucune ne figure telle quelle dans un texte. Toutes quatre sont exigées par au moins deux d'entre eux.
- La preuve doit pouvoir porter sur l'acte. DSP2 l'impose explicitement dans son champ par le lien dynamique ; NIS2 et DORA l'impliquent par leurs attentes de traçabilité et de reconstitution d'incident. Une architecture qui n'authentifie que la session ne peut satisfaire ni l'un ni les autres, indépendamment du nombre de facteurs déployés.
- La chaîne de sous-traitance doit être auditable. DORA en fait un objet propre, NIS2 l'inscrit dans la gestion des risques, le CRA la déplace vers le fabricant. Sur l'authentification, cela revient à une question précise : qui, en dehors de vous, peut agir sur vos comptes, et avec quelle trace ?
- Le dispositif doit être sûr par défaut et maintenu. Le CRA porte cette exigence sur les produits comportant des éléments numériques, avec des obligations principales à l'horizon fin 2027. Pour un acheteur, elle se traduit en durée d'engagement de maintien en sécurité, question rarement posée dans une consultation d'authentification.
- Le système doit savoir accepter une identité qu'il n'a pas établie. eIDAS 2 organise la circulation d'attestations qualifiées. Un service incapable de consommer une assertion externe devra continuer à collecter et conserver des justificatifs, ce qui l'expose davantage au regard du RGPD sans bénéfice de sécurité.
Ces quatre propriétés forment un cahier des charges de fait. Leur traduction en exigences vérifiables est traitée dans la trame d'appel d'offres, et leur lecture texte par texte dans NIS2, DORA, DSP3 et CRA.
Pourquoi la lecture séparée coûte plus cher
Elle produit trois effets mesurables, tous documentés dans les organisations qui ont mené ces chantiers en parallèle.
- Des choix contradictoires. Un projet DORA qui raccourcit les sessions et un projet d'expérience client qui les allonge peuvent avancer en même temps, chacun conforme à son mandat.
- Une conformité par document. Chaque chantier produit une preuve documentaire de sa propre démarche. Aucun ne produit la propriété technique commune, qui n'appartient à personne.
- Un coût d'audit multiplié. Une architecture unique documentée cinq fois se défend ; cinq architectures documentées une fois chacune ne se défendent pas.
La contradiction que la convergence ne résout pas
Les quatre propriétés supposent de conserver davantage : ce qui a été affiché, à quel moment, pendant la durée où une contestation reste possible. Le RGPD attend l'inverse — la minimisation et une durée de conservation justifiée.
Cette contradiction est réelle et aucun texte ne l'arbitre. Elle se traite par un arbitrage écrit, parcours par parcours, qui documente pourquoi telle donnée est conservée telle durée au regard d'un délai de contestation identifié. C'est un travail de gouvernance, pas de conformité : personne ne viendra vous dire quelle réponse est la bonne, mais l'absence de réponse écrite est, elle, une faiblesse dans les deux directions.
Ce que la convergence ne donne pas
Elle ne prescrit aucune méthode. Aucun de ces textes n'impose une passkey, un certificat ou un facteur particulier, et un fournisseur qui affirme le contraire vend une lecture, pas une obligation.
Elle ne dit rien de la souveraineté : la juridiction de l'éditeur, la localisation des données et l'exposition à un droit extraterritorial ne sont pas des exigences de ces cinq textes. Ce sont des critères de choix légitimes, à assumer comme tels — la question est traitée dans l'authentification comme dépendance de rang zéro.
Enfin, elle ne hiérarchise pas. Savoir par quel parcours commencer relève d'une analyse de risque, pas d'une lecture réglementaire, et c'est aussi ce qui distingue une démarche défendable d'une démarche exhaustive. La preuve d'un acte conscient au moment de l'opération, qui traverse les quatre propriétés, est l'objet du 4ᵉ facteur cognitif.
FAQ
Faut-il un référentiel interne unique pour ces cinq textes ?
Un tableau de correspondance entre vos parcours et les quatre propriétés est plus utile qu'un référentiel par texte. Les auditeurs acceptent une architecture unique documentée plusieurs fois ; c'est l'inverse qui pose problème.
Comment traiter un texte qui ne s'applique pas à nous aujourd'hui ?
En distinguant l'applicabilité de la direction. Un texte non applicable peut néanmoins indiquer où va l'exigence, ce qui compte pour une infrastructure dont le cycle de vie dépasse dix ans. Le CRA en est l'exemple : ses obligations principales sont à venir, ses conséquences d'achat sont immédiates.
Cette convergence vaut-elle hors d'Europe ?
Le raisonnement sur les propriétés est transposable, les obligations non. Une organisation multinationale a intérêt à viser les propriétés, qui sont stables, plutôt qu'à empiler des dossiers juridictionnels, qui ne le sont pas.
Qui doit porter ce sujet dans l'organisation ?
Aucun des cinq chantiers ne le portera spontanément, puisque la propriété commune n'appartient à aucun. Elle relève de l'architecture, arbitrée au niveau où les chantiers se croisent — donc d'une décision de direction, pas d'une coordination de projets.
Aller plus loin : pilier : authentification cognitive · le CRA appliqué à l'authentification · la charge de la preuve · NIS2 et responsabilité du dirigeant