NIS2 – Formations(Et pourquoi « nous avons une politique pour cela » ne suffira pas cette fois-ci.)
NIS2 n'est pas une simple case à cocher en matière de cybersécurité.
Il s'agit d'un transfert de responsabilité, de l'informatique vers la gouvernance.
Pour la première fois, les administrateurs peuvent être tenus personnellement responsables des défaillances en matière de cyber-résilience.
Ainsi, lorsque la première vague d'audits NIS2 commencera, attendez-vous à ce que les auditeurs aillent au-delà de la routine habituelle consistant à demander « avez-vous une politique ? ».
Ils rechercheront des preuves d'exécution, de traçabilité et d'implication de la direction.
Voici les dix lacunes concrètes qui feront la différence lors de votre audit NIS2.
Il ne s'agit pas de théorie, mais de ce que nous constatons déjà lorsque nous évaluons des organisations à travers l'Europe.
1. Absence de preuves de gouvernance au sommet
NIS2 fait entrer la cybersécurité dans la salle du conseil.
Si vos administrateurs ne peuvent pas démontrer leur capacité de supervision, vous avez échoué au premier test.
Ce que les auditeurs vérifieront :
La cybersécurité est-elle agenda récurrent agenda du conseil d'administration ?
Les rôles et responsabilités sont-ils officiellement attribués au niveau de la direction ?
Existe-t-il une documentation relative à la responsabilité en matière d'acceptation des risques ?
Correction :
Conservez les procès-verbaux, les signatures et les présentations.
Les preuves sont primordiales, « le conseil d'administration a été informé » ne signifie rien si cela n'est pas consigné par écrit.
2. Le syndrome « politique ≠ pratique »
La plupart des organisations ont des politiques qui semblent parfaites sur le papier.
Les auditeurs les ignoreront complètement pour vérifier si les contrôles sont réellement utilisés.
Ce qu'ils demanderont :
« Montrez-moi comment cette politique est mise en œuvre. »
« Qui l'a examiné en dernier ? »
« Quand cela a-t-il été communiqué au personnel ? »
Correction :
Contrôle des versions, journaux de distribution et registres de formation.
Si personne ne connaît l'existence de cette politique, autant la supprimer.
3. Absence de Risk de bout en bout
Dans le cadre de la norme NIS2, la gestion des risques n'est pas un élément secondaire, mais bien l'élément principal.
Vous ne pouvez pas vous contenter de dire : « Nous avons procédé à une évaluation des risques. »
Les auditeurs vérifieront :
Une méthodologie formelle (de préférence conforme aux normes ISO 31000 / 27005).
Responsables des risques documentés.
Plans de traitement avec preuves de suivi.
Correction :
Effectuez des analyses des risques tous les trimestres, voire tous les mois, et non pas une fois par an.
Effectuez des mises à jour lorsque le contexte change, et pas seulement avant l'audit.
4. Intégration insuffisante des réponses aux incidents
L'obligation de notification dans les 24 heures imposée par la NIS2 change tout.
Les auditeurs vérifieront si votre processus de gestion des incidents est réellement capable d'atteindre cette rapidité.
Ce qu'ils vérifieront :
Des procédures d'escalade claires et des rôles clairement définis.
Stratégies testées dans le cadre de simulations.
Registres des incidents conformes aux obligations de déclaration.
Correctif :
Ne vous contentez pas d'avoir un plan, organisez des exercices.
Les auditeurs peuvent déterminer en deux minutes si vous l'avez déjà testé.
5. Fournisseurs et tiers : angles morts
Dans le cadre de la norme NIS2, vos fournisseurs sont votre problème.
Les auditeurs savent que c'est là que la plupart des organisations échouent.
Ce qu'ils vérifieront :
Existe-t-il un processus de gestion des risques liés aux fournisseurs ?
Les contrats comprennent-ils des clauses relatives à la cybersécurité et des accords de niveau de service (SLA) ?
La performance des fournisseurs est-elle contrôlée régulièrement ?
Correction :
Créez un registre des risques tiers léger.
Commencez par les fournisseurs critiques, même un modèle de notation simple vaut mieux que l'ignorance.
6. Absence de connaissance en temps réel de la conformité
De nombreuses entreprises considèrent encore la conformité comme un « rapport annuel ».
Dans le cadre de la norme NIS2, les auditeurs attendront une vigilance constante en matière de conformité.
Ce qu'ils rechercheront :
Indicateurs clés de performance (KPI) ou tableaux de bord illustrant les performances en matière de contrôle.
Audits internes ou auto-évaluations récents.
Un processus permettant de tirer les enseignements de l'expérience acquise.
Solution :
Mettre en place un tableau de bord simple sur la conformité, avec des mises à jour mensuelles, rouge/orange/vert.
Il ne s'agit pas de perfection, mais de visibilité.
7. Intégration incomplète de la continuité des activités
La cyber-résilience dans le cadre de la directive NIS2 ne se limite pas à la reprise informatique, elle concerne également la continuité des activités.
Si votre analyse d'impact sur les activités (BIA) relève d'un autre service, cela constitue un signal d'alarme.
Les auditeurs demanderont :
« Quand avez-vous effectué votre dernier test de continuité ? »
« Quels services critiques sont couverts par votre PCA ? »
« Qui a validé les délais de récupération ? »
Correction :
Reliez vos plans d'action en cas d'incident cybernétique à vos scénarios de PCA.
Les auditeurs s'attendront à voir cette harmonisation, et non deux univers distincts.
8. Formation qui n'existe que sur PowerPoint
La norme NIS2 exige explicitement une sensibilisation et une formation.
Les auditeurs vérifieront la profondeur, et non l'existence.
Ils demanderont :
« Comment adapter la formation en fonction du poste occupé ? »
« Quel est votre taux de réussite ? »
« À quand remonte votre dernière simulation d'hameçonnage ou votre dernier exercice théorique ? »
Correction :
Mesurez l'impact, pas la participation.
Montrez l'amélioration comportementale, pas seulement les diapositives et les inscriptions.
9. Chaos documentaire
Les auditeurs ne se contentent pas de vérifier les politiques, ils recherchent également la cohérence.
Ils s'attendent à trouver un système de documentation structuré : politiques, procédures, directives, registres, chacun avec une responsabilité et une traçabilité claires.
Correction :
Mettre en place un cadre de documentation simple :
Politique (quoi et pourquoi)
Procédure (comment)
Dossier (preuve)
Si vous avez besoin de plus de deux clics pour trouver un document, vous n'êtes pas prêt.
10. Contrôles sans indicateurs
Disposer de contrôles ne signifie pas savoir s'ils fonctionnent.
En fonction du niveau de maturité attendu, les auditeurs relevant de la NIS2 voudront voir des preuves d'efficacité, et pas seulement d'existence.
Ils demanderont :
« Comment mesurez-vous la performance de vos contrôles de sécurité ? »
« Quand ce contrôle a-t-il été testé pour la dernière fois ? »
Solution :
Reliez les contrôles aux indicateurs clés de performance (KPI) ou aux indicateurs clés de risque (KRI).
Exemple : « Correctifs appliqués dans les 14 jours, conformité à 96 %. »
Les chiffres parlent. Les récits, non.
Bonus : « Conformité copier-coller »
Les auditeurs le sentent immédiatement.
Si votre documentation semble avoir été générée par ChatGPT ou un modèle ISO générique, ils commenceront à creuser, et pas qu'un peu.
Correctif :
Adaptez votre cadre à vos besoins.
Adaptez les rôles, l'appétit pour le risque et les indicateurs à vos opérations réelles.
Il est facile de simuler la conformité jusqu'à ce que quelqu'un commence à vous demander pourquoi vous avez agi d'une certaine manière.
Conclusion
NIS2 n'exige pas la perfection, mais des preuves.
Si vous ne pouvez pas démontrer que votre gouvernance en matière de cybersécurité est réelle, reproductible et traçable, vous n'êtes pas conforme, quelle que soit la qualité apparente de vos politiques.
Lorsque l'auditeur arrive, il est trop tard pour commencer à s'aligner.
Les organisations les plus avisées s'y attellent dès maintenant, faisant de la norme NIS2 un moteur pour une résilience structurée au niveau du conseil d'administration.
Comment se préparer
C'est exactement ce que nous abordons dans le programme NIS2 Lead Implementer de Cyber Academy:
Conception de la structure de gouvernance.
Cadres Risk aux incidents conformes aux articles 21 à 23 de la directive NIS2.
Modèles de documentation conformes aux normes d'audit.
👉 Demandez votre devis. Rejoignez la prochaine promotion.
Parce que NIS2 ne consiste pas à passer un audit.
Il s'agit de prouver que votre organisation fonctionne réellement comme vous le prétendez.
