Gouvernance
« Ceux qui voient NIS2 comme une contrainte ont déjà pris du retard »
Par Laurent Delattre, publié le 31 juillet 2026
Cartographier les actifs et leurs dépendances, rapprocher la cybersécurité des métiers, sécuriser les identités, protéger les sauvegardes et accélérer le déploiement des correctifs : la résilience imposée par NIS2 et DORA déborde largement le cadre de la conformité. Lors de la Matinale IT for Business consacrée à ces deux réglementations, Thomas Pagbé a réuni quatre experts pour confronter leurs avis et retours d’expérience et parler de gouvernance, protection des données et réalités opérationnelles.
La résilience ne se résume plus à disposer d’un plan de reprise, de sauvegardes et de quelques procédures rangées dans un classeur. Avec NIS2 et DORA, les organisations doivent comprendre leurs dépendances, associer les métiers aux décisions et démontrer qu’elles pourront continuer à fonctionner lorsque l’incident surviendra.
Pour décrypter cette transformation, Thomas Pagbé recevait Stéphane Berthaud (Director EMEA Sales Engineering chez Object First), Laurent Bedoucha (directeur adjoint en charge de ServiceNow chez Inetum), Fabrice Delouche (Director EMEA Broad Manufacturing chez Idira, la nouvelle plateforme de sécurité des identités issue de CyberArk au sein de Palo Alto Networks), et York von Eichel-Streiber (Product Marketing Manager EMEA chez NinjaOne) à l’occasion de la grande Matinale IT for Business consacrée à « NIS2 et DORA, comment préparer vos équipes à la résilience ? ».
Cartographier ce que l’entreprise doit réellement protéger
Premier constat partagé : les entreprises ne connaissent pas toujours suffisamment leur système d’information, leurs applications oubliées, leurs ressources cloud ou les dépendances qui relient un composant apparemment secondaire à un processus critique.
« La cartographie est finalement le point faible des entreprises », estime Laurent Bedoucha. Le shadow IT, les ressources cloud créées à la volée et les chaînes de sous-traitance rendent les inventaires rapidement incomplets. Surtout, la cartographie technique reste trop souvent déconnectée de l’impact métier.
« Un risque, c’est une vulnérabilité, une menace qui exploite cette vulnérabilité, puis un impact business », rappelle-t-il. Sans dialogue entre l’IT, la sécurité et les métiers, l’entreprise peine à hiérarchiser ses priorités et peut sous-estimer une application modeste dont dépend pourtant un processus essentiel.
La centralisation des informations devient alors un levier de pilotage. Laurent Bedoucha cite les plateformes comme ServiceNow, capables de consolider des signaux dispersés entre multicloud, SaaS, équipements et partenaires. « Pris individuellement, certains signaux paraissent isolés. Une fois corrélés, ils peuvent révéler un véritable scénario d’attaque. »
NIS2 fait entrer la cyber au comité de direction
Pour Fabrice Delouche, la principale rupture apportée par NIS2 est moins technologique qu’organisationnelle. « Quand on regarde le contenu de NIS2, on constate que l’on parle de business », souligne-t-il.
La cybersécurité ne peut donc plus rester confinée à la DSI ou au RSSI. La directive implique directement les dirigeants, leur demande d’arbitrer les risques et transforme la sécurité en condition de continuité de l’activité.
« Ce n’est pas le RSSI qui porte le risque. C’est la direction, le board, qui doit placer le curseur et décider des investissements nécessaires », insiste Fabrice Delouche. NIS2 fournit ainsi aux responsables cyber un cadre et un langage permettant de traduire des failles, des identités compromises ou des dépendances fournisseurs en conséquences financières et opérationnelles.
Cette logique est particulièrement sensible dans l’industrie, où les systèmes d’information sont ouverts aux fournisseurs, aux prestataires de maintenance et aux partenaires de la supply chain. La question centrale devient alors : « Où sont les données, où est l’information et qui peut y accéder ? »
La protection doit couvrir les identités humaines, mais aussi les identités machines utilisées par les applications, les API et les processus automatisés. Dans cette entreprise étendue, l’identité devient progressivement le nouveau périmètre de sécurité.
Une sauvegarde synchronisée peut aussi synchroniser la catastrophe
La résilience des données constitue l’autre grand volet de la discussion. Stéphane Berthaud rappelle que les stratégies de continuité historiquement fondées sur la réplication synchrone montrent leurs limites face aux ransomwares.
« Le point fort de ces solutions est aussi leur talon d’Achille : ce qui se passe d’un côté se reproduit mécaniquement de l’autre en temps réel », explique-t-il. Le chiffrement malveillant peut ainsi être répliqué aussi efficacement que les données légitimes.
D’où la nécessité de disposer d’une copie asynchrone permettant de revenir à un état antérieur à l’attaque, mais également de sauvegardes immuables et isolées. « La sauvegarde est souvent l’une des premières cibles, parfois bien avant les données de production », avertit Stéphane Berthaud.
Le chiffrement doit également s’appliquer de bout en bout, y compris aux copies de secours. Les attaquants ne cherchent plus seulement à rendre les données indisponibles. Ils les exfiltrent pour menacer de publier des informations RH, des données métiers ou de la propriété intellectuelle. « Le chiffrement permet de ne pas leur offrir cette prise supplémentaire », résume-t-il.
Corriger plus vite sans casser la production
La vitesse devient enfin une composante essentielle de la résilience. « On ne peut pas défendre les actifs que l’on ne connaît pas », rappelle York von Eichel-Streiber. Mais les identifier ne suffit plus : les équipes doivent aussi déployer les correctifs suffisamment vite, sans provoquer elles-mêmes une interruption de service.
La difficulté consiste à réconcilier les équipes sécurité, qui veulent fermer immédiatement une vulnérabilité, et les équipes d’infrastructure, qui redoutent les effets de bord d’une mise à jour insuffisamment testée.
L’intelligence artificielle peut aider à découvrir les vulnérabilités, à évaluer la stabilité des correctifs et à automatiser leur déploiement. « Il faut faire comme les attaquants et s’appuyer sur l’IA », résume York von Eichel-Streiber.
Pour Laurent Bedoucha, l’IA permet aussi de rapprocher des signaux faibles, d’anticiper certains scénarios et de déclencher plus rapidement une réponse, par exemple en bloquant automatiquement un compte compromis. Elle ne remplace cependant ni la gouvernance ni la connaissance du métier : elle réduit surtout un délai de réaction devenu incompatible avec des processus entièrement manuels.
Au terme de la table ronde, un message commun se dégage. NIS2 et DORA ne fournissent pas une recette technologique unique. Elles obligent les entreprises à relier cartographie, identités, données, fournisseurs, sauvegardes, correctifs et décisions de direction dans une même mécanique de résilience.
« NIS2 est un catalyseur », conclut Fabrice Delouche. « C’est une belle opportunité d’améliorer la maturité du business. Ceux qui la voient comme une contrainte ont déjà pris du retard. »
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
