Le changement introduit par NIS2 en matière de gouvernance porte sur le destinataire de l'obligation. La sécurité des systèmes d'information n'est plus seulement un sujet délégué à une direction technique : la directive attend de l'organe de direction qu'il approuve les mesures de gestion des risques, qu'il en supervise la mise en œuvre et qu'il se forme au sujet. Ces trois verbes ont des conséquences pratiques précises, et c'est là que l'écart avec les habitudes est le plus grand.
NIS2 est la directive (UE) 2022/2555 : elle n'est pas directement applicable, elle est transposée par chaque État membre. Les obligations, les périmètres, les seuils, les délais et les conséquences d'un manquement qui vous concernent figurent dans le texte de transposition applicable à votre entité, pas dans la directive lue seule. Cet article ne constitue pas un avis juridique et n'a pas vocation à remplacer l'analyse de votre conseil.
Ce qu'« approuver les mesures » veut dire dans les faits
Approuver suppose de pouvoir dire quoi, sur quel périmètre, à quelle date, et avec quel reste à traiter. Beaucoup d'organisations pensent avoir approuvé alors qu'elles ont assisté à une présentation.
| Pratique courante | Ce qu'elle ne démontre pas | Ce qui le démontrerait |
|---|---|---|
| Une présentation annuelle en comité | qu'une décision a été prise | un relevé de décisions daté, avec périmètre et échéance |
| Une politique de sécurité publiée | qu'elle a été approuvée par l'organe de direction | une approbation nominative et datée, et une date de réexamen |
| Un plan d'action validé oralement | l'existence d'un arbitrage sur les moyens | un budget affecté et un responsable nommé par chantier |
| Un budget accordé | que le risque restant a été assumé | un registre des risques acceptés, signé et daté |
| Un rapport d'audit reçu | que ses écarts ont été traités ou assumés | une décision par écart, avec échéance ou acceptation motivée |
La distinction utile sépare l'information de la décision. Un dirigeant informé peine à établir ce qu'il a arbitré ; un dirigeant qui a laissé une trace de ses décisions, y compris de celles de ne pas traiter certains points, dispose d'un dossier cohérent. Et la trace se crée en réunion, pas après.
La formation attendue n'est pas une formation technique
L'attente porte sur la capacité à comprendre et à interroger, pas sur la maîtrise des protocoles. Un test opérationnel consiste à vérifier qu'un dirigeant peut poser ces cinq questions et évaluer la qualité des réponses.
- Périmètre : quels sont nos accès critiques, et lesquels ne sont pas couverts par la mesure que nous venons d'approuver ?
- Contournement : par quels chemins peut-on obtenir le même accès sans passer par la mesure — réinitialisation, comptes de service, protocoles anciens, dérogations ?
- Preuve : pourrions-nous établir, dans six mois, qui a validé une opération sensible donnée, et avec quel moyen ?
- Détection et délai : combien de temps s'écoule entre une compromission supposée et la révocation effective des accès concernés ?
- Reste à traiter : qu'est-ce que nous acceptons de ne pas traiter cette année, et qui l'a décidé par écrit ?
Une formation qui ne rend pas ces cinq questions naturelles n'a pas atteint son objectif, même attestée. À l'inverse, un dirigeant capable de repérer qu'une mesure déclarée « déployée » ne l'est que sur une partie du parc a acquis l'essentiel de ce que la gouvernance attend de lui.
Ce que cela change pour l'authentification
Parmi les mesures de gestion des risques citées par la directive figurent l'authentification multifacteur ou continue. La conséquence pour un dirigeant n'est pas d'arbitrer une technologie, mais de déplacer la question qu'il pose. « Avons-nous une MFA ? » se répond par oui et n'engage rien. « Sur quel périmètre, avec quels chemins qui la contournent, et qui a accepté le reste ? » produit une réponse vérifiable, et parfois une décision.
Trois sujets remontent rarement d'eux-mêmes et méritent d'être demandés. Le parcours de récupération de compte, d'abord : c'est fréquemment l'étape la moins exigeante du dispositif, et elle n'apparaît dans aucun tableau d'avancement. La traçabilité des opérations sensibles ensuite : une preuve conservée à l'ouverture de session n'établit pas qu'une opération précise a été approuvée par une personne. Les accès des prestataires enfin, qui échappent souvent aux inventaires internes tout en ouvrant les mêmes droits que des accès salariés.
Le dossier que la direction devrait pouvoir produire
Sans préjuger de ce qu'une autorité demandera — cela dépend du texte de transposition et du secteur — six documents constituent une base cohérente, utile pour un audit comme pour un incident.
- Politique approuvée : version en vigueur, date d'approbation, organe qui l'a approuvée, date de réexamen prévue.
- Cartographie des accès critiques : applications, parcours sensibles, mécanisme d'authentification effectif pour chacun.
- Registre des risques acceptés : risque, motif, décideur, date, échéance de réexamen.
- Plan de traitement : chantiers, responsables, échéances, état d'avancement à date.
- Preuve de formation de l'organe de direction : contenu, participants, date.
- Chaîne de notification testée : qui décide de déclarer, dans quel délai, avec quelles informations disponibles, vérifiée par un exercice.
Le dernier point se dégrade le plus vite, parce qu'il dépend de personnes et de numéros de téléphone. Un exercice de deux heures par an suffit à vérifier que la chaîne fonctionne hors des heures ouvrées.
Les limites de l'exercice documentaire
Un dossier complet ne réduit pas l'exposition. Il démontre une diligence, ce qui est utile, mais une politique approuvée et jamais réexaminée finit par produire l'effet inverse de celui recherché : elle établit qu'une décision a été prise, puis qu'aucune conséquence n'en a été tirée pendant trois ans. La date de réexamen est donc la mention la plus importante de chaque document, et la plus souvent omise.
Deux zones exigent une prudence particulière. La classification de votre entité et les seuils qui la déclenchent se vérifient dans le texte de transposition applicable et auprès de l'autorité nationale compétente, jamais par analogie avec ce qu'un autre État membre a adopté. Les conséquences d'un manquement relèvent du même texte et de votre conseil juridique, pas d'une lecture croisée de la directive.
Enfin, la gouvernance ne traite pas le risque de manipulation d'un utilisateur légitime, qui reste la part la moins couverte par les mesures techniques usuelles. C'est ce que cherchent à établir les approches fondées sur une preuve d'intention humaine consciente, et c'est aussi le sujet sur lequel une direction gagne à formuler une règle interne explicite plutôt qu'à attendre une solution outillée.
FAQ
Un dirigeant peut-il déléguer cette responsabilité au RSSI ?
La mise en œuvre se délègue, l'approbation et la supervision sont attendues de l'organe de direction. En pratique, la question posée en cas de contrôle porte moins sur l'organigramme que sur les traces : qui a approuvé quoi, à quelle date, et sur quel périmètre.
Comment savoir si notre entité est concernée ?
Par le texte de transposition applicable, les listes sectorielles nationales et, en cas de doute, l'autorité compétente ou votre conseil. Une entité peut également être concernée indirectement, comme fournisseur d'une entité assujettie, ce qui se manifeste alors par des exigences contractuelles.
Que faire si la direction refuse le budget demandé ?
Demander une acceptation de risque écrite, datée et nominative, avec une date de réexamen. Ce document protège les deux parties : il matérialise un arbitrage assumé plutôt qu'un désaccord non tranché, et il fournit une base de réexamen si le contexte change.
La conformité à ISO/IEC 27001 couvre-t-elle ces attentes ?
Un système de management de la sécurité de l'information apporte une partie de la structure attendue, notamment la gestion documentaire et le traitement des risques. Il ne dispense pas de vérifier les obligations issues de la transposition applicable, qui portent aussi sur la notification et sur l'organe de direction.
Aller plus loin : pilier : authentification cognitive · ce que NIS2, DORA, DSP3 et le CRA exigent · présenter le risque d'authentification en comité · ce que l'assureur cyber examine