5 short insights this week: The EU just took seven governments to court over resilience · DORA just stopped being paperwork · Hackers didn't breach Instagram. They asked the bot nicely.…
Au sommaire
- 01L'UE vient d'attaquer sept gouvernements en justice pour leur résilience
- 02DORA vient d'arrêter d'être de la paperasse
- 03Les hackers n'ont pas piraté Instagram. Ils ont gentiment demandé au bot.
- 04Votre fournisseur le plus faible est votre vraie surface d'attaque
- 05L'AI Act vient de vous donner du temps. Ne le dépensez pas.
Recevez le prochain GRC Brief dans votre boîte mail.
S'abonner à The GRC BriefL'UE vient d'attaquer sept gouvernements en justice pour leur résilience
Le 28 avril, la Commission européenne a saisi la Cour de justice contre sept États membres (Bulgarie, France, Luxembourg, Pays-Bas, Pologne, Espagne et Suède) pour défaut de transposition de la directive CER, et elle demande à la Cour de prononcer des sanctions financières. CER, c'est la directive sur la résilience des entités critiques, le pendant physique et opérationnel des règles cyber de NIS 2. Même échéance d'octobre 2024. Elle couvre les entités critiques de l'énergie, des transports, de la santé, de l'eau, de la banque et des infrastructures numériques, et adopte une vision tous risques : pas seulement les cyberattaques, mais aussi le sabotage, les menaces internes et la perturbation physique.
Source: European Commission · press release, 28 Apr 2026
Mon analyse
Tout le monde en GRC est enseveli sous NIS 2 en ce moment. Pendant ce temps, son jumeau est celui qui met des gouvernements devant un juge. CER, c'est la moitié de la résilience européenne que la plupart des équipes sécurité contournent discrètement, parce que ce n'est pas "cyber". C'est la clôture, le groupe électrogène de secours, le fournisseur unique, le type qui a encore son badge d'accès deux ans après son départ.
Si vous opérez dans un secteur critique, vous tombez très probablement sous les deux régimes. NIS 2 vous demande si vous pouvez empêcher les attaquants d'entrer dans vos systèmes. CER vous demande si vous pouvez maintenir le service quand quelque chose de physique se passe mal. Question différente. Contrôles différents. Même responsabilité au niveau du conseil. C'est le terrain de la résilience opérationnelle, pas juste de la sécurité de l'information.
Le signal est simple. La Commission a cessé d'envoyer des courriers et a commencé à demander des amendes. Quand un gouvernement est sanctionné pour son retard, cette pression ne reste pas dans un ministère. Elle redescend vers les entités. Si la "résilience" dans votre boîte se résume à l'antivirus et à un backup nocturne, vous lisez la moitié du brief.
DORA vient d'arrêter d'être de la paperasse
Le 3 juin, les trois autorités européennes de surveillance ont publié le premier état des lieux annuel des incidents TIC majeurs dans le secteur financier européen. Le cadre est officiellement passé de "mettez-le en œuvre" à "on lit vos rapports". Elles ont pointé un risque de plus en plus sans frontières et interconnecté, ainsi que la montée des outils d'attaque pilotés par IA.
Source: National Law Review · ESAs first ICT-incident report
Mon analyse
C'est le moment où DORA sort les dents. Les régulateurs disposent désormais d'une année complète de données d'incidents, et ils l'ont publiée. Traduction : ils savent à quoi ressemble un bon reporting, et ils vont commencer à le comparer au vôtre.
Si vous êtes une entité financière, ou un prestataire TIC qui l'alimente, votre classification d'incident et votre chronologie de reporting sont maintenant un sujet exécutif. Pas seulement "avez-vous un playbook" mais "votre playbook produit-il les chiffres que les ASE viennent de publier, dans les délais qu'ils attendent".
Les hackers n'ont pas piraté Instagram. Ils ont gentiment demandé au bot.
Des attaquants ont pris le contrôle de comptes Instagram à fort profil en discutant avec l'assistant de support IA de Meta. Usurpez la localisation avec un VPN, demandez au bot d'ajouter un nouvel email de récupération, recevez le code à usage unique, réinitialisez le mot de passe. Aucun humain impliqué. Les comptes de la Maison-Blanche d'Obama et d'une unité de la US Space Force ont été parmi les cibles, et la faille aurait continué à fonctionner après que Meta a annoncé l'avoir corrigée.
Source: KrebsOnSecurity · reporting also by 404 Media, TechCrunch
Mon analyse
C'est la leçon de gouvernance IA de l'année, et elle est gratuite. Meta a confié à un agent IA le pouvoir de réinitialiser des mots de passe et de changer des emails de récupération sans intervention humaine, sans authentification réelle de la demande, et sans piste d'audit visible pour le propriétaire du compte. C'est exactement la classe de défaillance que les régulateurs IA décrivent.
C'est précisément le sujet d'ISO 42001. Pas "le modèle est-il biaisé". Mais "que peut effectivement faire ce truc dans votre périmètre, qui devrait le contrôler, et comment vous le savez quand ça part de travers". Si vous déployez des agents IA dans des fonctions sensibles, votre comité de gouvernance IA a besoin d'une réponse à "que peut révoquer cet agent et comment".
Et notez la note de bas de page : la MFA a bloqué la plupart des prises de contrôle. Les contrôles ennuyeux continuent de gagner.
Votre fournisseur le plus faible est votre vraie surface d'attaque
Le schéma de brèche emblématique de 2026, ce n'est pas la porte d'entrée. C'est la chaîne d'approvisionnement. Des packages open-source empoisonnés sont devenus la voie d'entrée dans de grandes entreprises. Deux banques américaines ont été compromises via un seul prestataire partagé. Les attaquants ne forcent plus l'entrée. Ils marchent à l'intérieur à travers quelqu'un en qui vous avez déjà confiance.
Source: TechCrunch · the worst breaches of 2026 so far
Mon analyse
Plus personne ne défonce la porte. On les laisse entrer. Par un fournisseur, une bibliothèque, un contractant, une intégration que vous avez oublié avoir connectée il y a trois ans. C'est pourquoi l'article 21 de NIS 2 et DORA tapent tous deux sur le risque tiers. Ce n'est pas de la bureaucratie. C'est la trajectoire d'attaque la plus probable.
L'action concrète : remettez à plat votre cartographie de tiers ce trimestre. Pas un audit complet, juste deux questions par fournisseur critique. Quelle donnée ou quel accès ont-ils. Que se passe-t-il si on les coupe demain. Vous serez surpris du nombre de réponses "je ne sais pas".
L'AI Act vient de vous donner du temps. Ne le dépensez pas.
Dans le cadre de l'AI Act Omnibus (accord politique trouvé le 7 mai), les obligations lourdes pour les systèmes à haut risque ont été repoussées. Les systèmes autonomes de l'Annexe III ont désormais jusqu'au 2 décembre 2027. L'IA intégrée dans des produits réglementés a jusqu'au 2 août 2028. L'adoption formelle est attendue dans les semaines qui viennent. Mais les obligations de transparence atterrissent toujours le 2 août 2026.
Source: Gibson Dunn · AI Act Omnibus agreement
Mon analyse
Un report n'est pas un pardon. L'échéance a bougé. Le travail n'a pas rétréci. Si vous attendez 2027 pour démarrer votre inventaire IA et vos évaluations de risque, vous ferez dans la panique ce que vous pourriez faire calmement maintenant. Et vos auditeurs verront la différence.
Et les règles de transparence atterrissent toujours en août, donc "on a eu une rallonge" n'est pas un plan. Servez-vous de cette rallonge pour construire le système qui rend le 2 août 2026 sans incident, plutôt que pour reporter la conversation.