NIS 2 Is Live. Your Regulator Won’t Wait

Allons droit au but

La date limite de transposition de la directive NIS 2 était octobre 2024. La majorité des États membres de l'UE l'ont transposée en droit national ou en sont aux dernières étapes. Les mécanismes d'application se mettent en place. Les autorités de régulation recrutent. Les cadres de supervision entrent en vigueur.

Et pourtant, quand j'échange avec des CISO, des responsables conformité et des directeurs informatiques à travers l'Europe, la conversation est presque toujours la même :

« Nous savons que NIS 2 nous concerne. Nous avons lu la directive. Mais nous n'avons pas encore commencé à la mettre en œuvre. »

Si c'est votre cas, cet article est votre signal d'alarme. Et votre solution.

Le fossé dont personne ne parle

Voici la réalité de NIS 2 : c'est une directive, pas un manuel.

Elle vous dit CE QUE vous devez atteindre. Elle ne vous dit PAS COMMENT y parvenir. Et le « comment » est précisément là où la plupart des organisations sont complètement bloquées.

Vous avez 50 pages et plus de texte juridique. Vous comprenez le champ d'application, les secteurs, les obligations de notification. Mais quand le lundi matin arrive et que vous devez concrètement construire un cadre de gouvernance, réaliser une analyse de risques qui satisfait l'article 21, mettre en place une réponse aux incidents avec une alerte précoce sous 24 heures et une notification sous 72 heures, et documenter vos mesures de sécurité de la chaîne d'approvisionnement…

Par où commencer ?

Ce fossé, entre comprendre la directive et la mettre en œuvre, est exactement là où les professionnels restent bloqués pendant des mois. Et vous n'avez pas des mois devant vous.

Ce qui distingue NIS 2 de tout ce que vous avez fait jusqu'ici

Si vous avez travaillé avec ISO 27001, GDPR ou d'autres référentiels de sécurité, vous pensez peut-être que NIS 2 n'est qu'une case de plus à cocher. Ce n'est pas le cas. Voici pourquoi :

Responsabilité personnelle de la direction. NIS 2 engage la responsabilité personnelle des dirigeants. Pas celle de l'organisation. La vôtre. Si vous êtes le CISO ou le responsable conformité, c'est sur vous que le doigt se pointe quand les choses tournent mal.
Notification d'incident obligatoire avec des délais fermes. 24 heures pour une alerte précoce. 72 heures pour une notification complète. Aucune flexibilité, aucun « nous reviendrons vers vous la semaine prochaine ».
La sécurité de la chaîne d'approvisionnement n'est pas optionnelle. Vous ne pouvez pas vous contenter de dire « nous faisons confiance à nos fournisseurs ». Il faut des évaluations documentées, des obligations contractuelles et un suivi.
Des amendes qui font mal. Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles. Et votre organisation peut être nommément citée publiquement.
Obligations transfrontalières. Si vous opérez dans plusieurs États membres de l'UE, vous faites face à plusieurs transpositions nationales de la même directive. La complexité se multiplie.

ISO 27001 constitue une excellente base. Mais elle ne couvre pas les délais de notification obligatoires de NIS 2, ses exigences sectorielles spécifiques, ni ses dispositions en matière de responsabilité des dirigeants. Il vous faut le référentiel opérationnel propre à NIS 2.

Les 5 questions que votre régulateur posera

Quand votre autorité nationale se manifestera, et elle le fera, voici ce qu'elle voudra voir :

Gouvernance : Disposez-vous d'un cadre de gouvernance de la cybersécurité avec des rôles, des responsabilités et une supervision de la direction clairement définis ? Pouvez-vous prouver que la direction est activement impliquée ?
Gestion des risques : Avez-vous conduit une analyse de risques formelle ? Est-elle documentée ? Est-elle liée à des mesures spécifiques ? Pouvez-vous montrer comment vous avez priorisé ?
Réponse aux incidents : Disposez-vous d'un plan de réponse aux incidents testé ? Respecte-t-il les obligations de notification 24h/72h ? L'avez-vous réellement exercé ?
Chaîne d'approvisionnement : Comment évaluez-vous et gérez-vous les risques cybersécurité dans votre chaîne d'approvisionnement ? Quels contrats, mesures et dispositifs de suivi avez-vous mis en place ?
Amélioration continue : Comment mesurez-vous votre niveau de cybersécurité ? Quels indicateurs reportez-vous ? Comment testez-vous et améliorez-vous votre posture dans le temps ?

Si vous ne pouvez pas répondre aux cinq avec des preuves, de la documentation et de l'assurance, vous avez un écart de conformité. Et cet écart a un prix.

Du 4 au 8 mai : combler l'écart en 5 jours

C'est là qu'intervient notre formation NIS 2 Directive Lead Implementer.

Du 4 au 8 mai, nous organisons une cohorte en ligne en direct, en anglais, qui vous guide à travers l'ensemble du processus de mise en œuvre de NIS 2. Pas la théorie. Pas le texte normatif. La méthodologie concrète.

Voici à quoi ressemble la semaine :

JourThèmeLun. 4 maiFondamentaux de NIS 2, exigences, périmètre de votre organisation, lancement du projet de mise en œuvreMar. 5 maiStructure de gouvernance, rôles et responsabilités, gestion des actifs, méthodologie de gestion des risquesMer. 6 maiMesures de cybersécurité, sécurité de la chaîne d'approvisionnement, gestion des incidents, cadres de gestion de criseJeu. 7 maiContinuité d'activité, programmes de sensibilisation et de formation, tests, indicateurs et surveillance, amélioration continue

En quelques semaines, vous êtes certifié NIS 2 Directive Lead Implementer.

Ce que vous repartez avec, concrètement

Soyons précis, car « vous apprendrez beaucoup » n'est pas une proposition de valeur :

Une feuille de route d'implémentation complète que vous pouvez présenter à votre direction dès le lundi matin. Pas des « notes de formation », mais un plan structuré avec des phases, des jalons et des livrables.
Des cadres de réponse aux incidents conformes aux obligations de notification 24h/72h de NIS 2. Documentés, testés, défendables.
Une méthodologie d'analyse de risques construite autour de scénarios réels, pas d'exemples de manuels. Vous saurez comment évaluer, prioriser et documenter les risques d'une manière qui satisfait les auditeurs.
Des approches de sécurité de la chaîne d'approvisionnement qui vont au-delà du « nos fournisseurs ont signé un NDA ». Des référentiels d'évaluation concrets, des exigences contractuelles et un suivi continu.
La certification PECB Certified NIS 2 Directive Lead Implementer reconnue à travers l'Europe, et adossée à notre garantie Certifié ou Remboursé.
Le type de confiance qui vient du fait de savoir exactement ce que vous faites, sans improviser.

Pourquoi cette formation est différente

Il existe d'autres formations NIS 2. La plupart sont dispensées par des formateurs qui lisent des diapositives sur la directive. Ce n'est pas ce qui se passe ici.

Je suis CISO en exercice. Je conduis des mises en œuvre NIS 2 pour des organisations à travers l'Europe. Quand j'enseigne la réponse aux incidents, c'est parce que j'ai construit des programmes de réponse aux incidents. Quand j'enseigne la gestion des risques, c'est parce que je me suis assis face à des auditeurs et que j'ai défendu des analyses de risques. Les exemples de cette formation sont réels. La méthodologie est éprouvée. Les retours d'expérience sont les miens.

Ce n'est pas un exercice théorique. C'est un transfert intensif et condensé de savoir-faire opérationnel de la part de quelqu'un qui fait ce travail chaque jour.

Et si vous ne réussissez pas l'examen ? Nous vous remboursons. C'est notre garantie Certifié ou Remboursé. Sans petits caractères. Sans conditions au-delà de suivre la formation et de passer l'examen.

Est-ce fait pour vous ?

Cette formation est conçue pour les professionnels qui en ont fini de lire sur NIS 2 et qui sont prêts à le mettre en œuvre :

CISO et responsables sécurité qui pilotent (ou s'apprêtent à piloter) des projets de conformité NIS 2
Responsables GRC et conformité chargés de traduire la directive en réalité opérationnelle
Directeurs informatiques dans les secteurs d'infrastructure critique : énergie, transport, santé, services numériques et les autres parmi les 18 secteurs désormais dans le périmètre
Consultants accompagnant leurs clients sur NIS 2 et ayant besoin de la certification pour l'appuyer
Risk managers intégrant les exigences NIS 2 dans les cadres de risque d'entreprise

Pas le bon profil ? Si vous cherchez une introduction à haut niveau à ce qu'est NIS 2 et à qui elle s'applique, notre formation NIS 2 Foundation est le meilleur point de départ. Le parcours Lead Implementer part du principe que vous avez dépassé le « quoi » et que vous êtes prêt pour le « comment ».