La date limite de transposition était octobre 2024. Deux ans plus tard, la plupart des États membres ont transposé NIS 2 en droit national, et les autorités sont passées de la publication de guides à la pose de questions.
Pourtant, la conversation que j'ai avec les CISO, les responsables conformité et les DSI à travers l'Europe est toujours la même.
« Nous savons que NIS 2 nous s'applique. Nous avons lu la directive. Nous n'avons pas encore commencé. »
Si c'est votre cas, ce n'est pas un problème de lecture.
L'écart dont personne ne parle
NIS 2 est une directive, pas un manuel.
Elle dit ce qu'il faut atteindre. Elle ne dit rien sur comment y parvenir. Et c'est le « comment » qui bloque tout le monde.
Vous avez cinquante pages de texte juridique. Vous comprenez le périmètre, les secteurs, les obligations de notification. Puis le lundi matin arrive, quelqu'un vous demande par où commencer, et la réponse honnête est que vous ne le savez pas encore.
Cet écart, entre comprendre la directive et la mettre en œuvre, c'est là que les organisations perdent six mois. Six mois que vous n'avez plus.
Ce qui différencie NIS 2 de tout ce que vous avez déjà fait
Si vous avez mené ISO 27001 ou GDPR, vous pourriez classer NIS 2 dans la catégorie « un autre référentiel ». Ce n'en est pas un.
Votre direction est personnellement responsable. Pas l'organisation. Les personnes. Si vous êtes le CISO ou le responsable conformité, votre organe de gouvernance porte une responsabilité qu'un certificat n'absorbe pas.
L'horloge de notification est stricte. Vingt-quatre heures pour une alerte précoce. Soixante-douze pour une notification complète. Il n'y a pas de « nous reviendrons vers vous la semaine prochaine ».
La sécurité de la chaîne d'approvisionnement n'est pas une clause que vous signez. Il vous faut des évaluations documentées, des obligations contractuelles et un suivi qui résiste à une demande de preuves.
Les amendes sont structurelles. Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et votre organisation peut être nommément citée publiquement.
Transfrontalier signifie pluriel. Opérer dans plusieurs États membres implique plusieurs transpositions nationales d'une même directive, et elles ne sont pas cohérentes entre elles.
ISO 27001 est une bonne base. Elle ne couvre pas les délais de notification, les exigences sectorielles spécifiques, ni la responsabilité de la direction. Ce sont des éléments nouveaux, et ce sont précisément ceux qui ont des dents.
Les cinq questions que votre régulateur posera
Lorsque votre autorité nationale se manifestera, et elle le fera, voici ce qu'elle voudra voir.
- Gouvernance. Disposez-vous d'un cadre de gouvernance de la cybersécurité avec des rôles nommés et une supervision managériale réelle ? Pouvez-vous prouver que la direction générale est impliquée, et pas seulement informée ?
- Gestion des risques. Existe-t-il une analyse de risques formelle ? Documentée ? Liée à des mesures spécifiques ? Pouvez-vous montrer comment vous avez priorisé ?
- Réponse aux incidents. Disposez-vous d'un plan testé qui respecte les obligations des 24 et 72 heures ? L'avez-vous réellement exercé ?
- Chaîne d'approvisionnement. Comment évaluez-vous et suivez-vous le risque cybersécurité chez vos fournisseurs ? Quels contrats, quelles mesures, quelles preuves ?
- Amélioration continue. Que mesurez-vous ? Que reportez-vous ? Comment testez-vous et améliorez-vous ?
Si vous ne pouvez pas répondre aux cinq avec documentation et assurance, vous avez un écart. Cet écart a un prix.
Du 14 au 18 décembre : comblez-le en cinq jours
C'est à cela que sert la formation NIS 2 Directive Lead Implementer.
Du 14 au 18 décembre, nous animons une cohorte en ligne en direct, en anglais, couvrant l'intégralité du processus de mise en œuvre. Pas la théorie. Pas le texte normatif. La méthodologie que vous utiliserez dès le lundi suivant.
| Jour | Thème |
|---|---|
| Lun 14 déc | Fondamentaux de NIS 2, exigences, périmétrage de votre organisation, lancement du projet de mise en œuvre |
| Mar 15 déc | Structure de gouvernance, rôles et responsabilités, gestion des actifs, méthodologie de gestion des risques |
| Mer 16 déc | Mesures de cybersécurité, sécurité de la chaîne d'approvisionnement, gestion des incidents, cadres de gestion de crise |
| Jeu 17 déc | Continuité d'activité, sensibilisation et formation, tests, métriques et supervision, amélioration continue |
| Ven 18 déc | Examen de certification |
Les cohortes sont limitées à six personnes, ce qui est la raison pour laquelle les questions reçoivent de vraies réponses.
Ce que vous repartez avec
« Vous apprendrez beaucoup » n'est pas une proposition de valeur. Voici la liste concrète.
- Une feuille de route de mise en œuvre que vous pouvez présenter à votre direction le lundi. Phases, jalons, responsables, pas des notes de formation.
- Des cadres de réponse aux incidents qui respectent les obligations des 24 et 72 heures. Documentés, testés, défendables.
- Une méthodologie d'analyse de risques construite sur des scénarios réels, pas des exemples de manuels.
- Des approches chaîne d'approvisionnement qui vont au-delà du « nos fournisseurs ont signé un NDA ». Cadres d'évaluation, exigences contractuelles, suivi continu.
- La certification PECB Certified NIS 2 Directive Lead Implementer, reconnue à travers l'Europe, avec l'examen inclus dans le prix et 31 crédits CPD.
- La garantie [Certification ou Remboursement](/trainings/certification-or-refund). Si vous suivez la formation, passez l'examen et ne l'obtenez pas, vous êtes remboursé.
Pourquoi celle-ci est différente
Il existe d'autres formations NIS 2. La plupart sont animées par des formateurs qui lisent des slides sur la directive.
Je suis CISO en exercice. Je conduis des mises en œuvre NIS 2 pour des organisations à travers l'Europe. Quand j'enseigne la réponse aux incidents, c'est parce que j'ai construit des plans de réponse aux incidents cette année et que je les ai vus utilisés. Quand j'enseigne l'évaluation de la chaîne d'approvisionnement, c'est parce que j'ai négocié avec des fournisseurs sur les preuves à fournir.
C'est la différence entre une formation sur une directive et le transfert de savoir-faire de mise en œuvre par quelqu'un qui fait le travail.
Est-ce pour vous
Cette formation s'adresse aux personnes qui en ont terminé avec la lecture sur NIS 2.
- CISO et responsables sécurité qui pilotent, ou s'apprêtent à piloter, un projet de conformité NIS 2
- Responsables GRC et conformité qui traduisent la directive en réalité opérationnelle
- DSI et responsables IT des dix-huit secteurs désormais dans le périmètre : énergie, transport, santé, services numériques et les autres
- Consultants qui conseillent sur NIS 2 et ont besoin de la certification pour appuyer leur expertise
- Risk managers intégrant NIS 2 dans un cadre de gestion des risques d'entreprise
Pas tout à fait adapté ? Si vous souhaitez une introduction de haut niveau à ce qu'est NIS 2 et à qui elle s'applique, NIS 2 Foundation est le meilleur point de départ.
Réservez votre place
NIS 2 Directive Lead Implementer du 14 au 18 décembre 2026, en ligne en direct, en anglais. Examen de certification PECB inclus, 31 crédits CPD, garantie Certification ou Remboursement.
Six places. Ce n'est pas du marketing de rareté, c'est le nombre qui permet à chacun de poser ses propres questions.