Gouvernance
« NIS2 et DORA imposent de passer de la conformité papier à la résilience réelle »
Par Laurent Delattre, publié le 07 août 2026
Cartographier les activités critiques, tester la reprise, sécuriser les sauvegardes et encadrer les tiers comme les agents IA… Réunis autour de Thomas Pagbé, Émilie Brie-Philippe (Caisse des dépots), Lionel Agulhon (Serma-Thales) et Brice Pinsart (Rubrik) montrent pourquoi NIS2 et DORA ne constituent pas une ligne d’arrivée, mais le point de départ d’une résilience réellement opérationnelle.
Au-delà des calendriers réglementaires, la table ronde organisée dans le cadre de la Matinale NIS2-DORA d’IT for Business pose une question très concrète : une entreprise est-elle réellement capable de continuer à fonctionner après un incident majeur ?
DORA est désormais entré dans le quotidien du secteur financier, tandis que les organisations potentiellement concernées par NIS2 doivent encore composer avec les incertitudes entourant sa transposition française. Une situation qui ne doit pas les conduire à attendre avant d’agir : cartographie, analyse de risque, gestion des tiers et préparation de la reprise peuvent être engagées indépendamment de la publication des derniers textes.
À la Caisse des Dépôts, DORA structure l’existant
Pour Émilie Brie-Philippe, RSSI de la Caisse des Dépôts, DORA n’a pas fait apparaître ex nihilo la gestion des risques ou les exercices de crise. Le règlement a surtout renforcé, documenté et systématisé des pratiques déjà engagées.
« On a rédigé plus de 100 documents pour le corpus documentaire », explique-t-elle. La Caisse des Dépôts a également travaillé sur une trentaine de scénarios d’incident et fait évoluer ses tests, jusqu’ici centrés notamment sur les intrusions et le bug bounty, vers des exercices de bout en bout.
La démarche a commencé par une étape incontournable : « On a cartographié. On s’est demandé quelles étaient nos activités critiques pour DORA. »
Une méthode qui permet ensuite de hiérarchiser les investissements, les tests et les plans de reprise.
La réglementation devient ainsi moins une opération ponctuelle de conformité qu’un moyen de progresser. « Ce n’est pas vu comme une mise en conformité, c’est vraiment une montée à l’état de l’art », résume la RSSI.
Cette transformation ne peut toutefois pas reposer sur le seul RSSI ou sur la seule DSI. Elle suppose d’impliquer les métiers, la direction générale, les équipes juridiques, les achats et les responsables de la continuité. Une nécessité également soulignée par Walter Peretti, directeur de l’ESILV, dans l’entretien « Ne laissez pas le DSI tout seul gérer ça, ça ne va pas le faire ».
Faire repartir la « minimum viable company »
Pour Brice Pinsart, Senior Manager Sales Engineering chez Rubrik, les entreprises ont trop souvent abordé les textes cyber comme une « réglementation de papier », consistant à réunir des preuves et à cocher des exigences.
Or, « ces réglementations sont le point de départ plutôt qu’un point d’arrivée ». La résilience repose selon lui sur trois capacités : prévenir l’incident, y répondre et redémarrer. La troisième est décisive : « Comment est-ce que je repars, c’est le seul élément qui soit déterministe. »
Aucune organisation ne peut garantir qu’elle empêchera toutes les attaques ou qu’elle saura répondre parfaitement à tous les scénarios. Elle peut, en revanche, préparer et tester la restauration des données, des applications et des processus indispensables.
L’objectif n’est donc pas nécessairement de faire repartir immédiatement 100 % du système d’information. Il consiste à identifier une « minimum viable company » : les 15 ou 20 % de l’organisation sans lesquels l’activité ne peut plus fonctionner.
Cette capacité de mobilisation doit être préparée bien avant l’attaque. Le retour d’expérience de Sylvain Bizouard, directeur cyber d’AXA France, en offre une illustration concrète dans l’entretien « Dans l’heure qui suit l’attaque, on est déjà tous mobilisés ».
La maturité cyber reste très disparate
Cette priorisation suppose de connaître précisément ses risques. « Un risque, c’est une menace sur quelque chose que l’on veut protéger », rappelle Lionel Agulhon, CTO et directeur de l’innovation chez Serma Safety & Security.
Avant de choisir des outils, les organisations doivent donc identifier leurs actifs sensibles, les menaces auxquelles ils sont exposés et les mesures permettant de réduire leur vulnérabilité ou de restaurer leur activité.
La difficulté varie fortement selon les entreprises. « Le niveau de maturité n’est pas faible, il est disparate », nuance Lionel Agulhon. Les grands groupes peuvent s’appuyer sur des équipes, des infrastructures et des dispositifs déjà structurés. Les PME doivent rechercher des réponses proportionnées à leurs moyens, éventuellement mutualisées ou proposées sous forme de services.
La conformité représente nécessairement un investissement humain, organisationnel et financier. Mais « la sécurité a un coût, avec un retour sur investissement qui est réel », souligne-t-il. NIS2 et DORA fournissent surtout un cadre pour justifier et orienter ces dépenses.
Les fournisseurs et les identités au cœur de la résilience
La gestion des tiers constitue l’un des principaux chantiers. À la Caisse des Dépôts, les clauses contractuelles sont progressivement revues pour intégrer les exigences de sécurité, de réversibilité et de continuité.
Cette évolution ne doit pas être réduite à une contrainte imposée aux prestataires. « Ça crée une relation de confiance », estime Émilie Brie-Philippe. Un fournisseur capable de démontrer son niveau de résilience pourra également transformer ces exigences en avantage commercial.
La question dépasse cependant la seule relation bilatérale entre un donneur d’ordre et chacun de ses partenaires. Les dépendances technologiques s’étendent sur plusieurs rangs de sous-traitance et appellent des approches plus collectives, comme le montre notre analyse « Risque fournisseurs : La maturité s’installe, mais l’heure de la mutualisation a sonné ».
Même logique pour l’immuabilité des sauvegardes. Cocher la case « données immuables » ne suffit pas si un compte administrateur compromis permet de modifier la durée de conservation, de désactiver les protections ou d’atteindre simultanément la production et le sanctuaire de sauvegarde.
L’isolation doit donc être pensée aussi bien au niveau du réseau que des identités et des mécanismes d’administration. Une sauvegarde externalisée n’est pas véritablement isolée si elle dépend du même annuaire d’authentification que l’environnement de production.
Avec les agents IA, il faudra aussi savoir revenir en arrière
L’IA ajoute enfin une nouvelle dimension au problème. Elle facilite l’identification et l’exploitation des vulnérabilités, aussi bien pour les attaquants que pour les défenseurs. Les agents autonomes introduisent parallèlement des identités machines disposant de droits sur des données et des applications sensibles.
« On est à peu près tous convaincus qu’avec les agents, il va y avoir des incidents et que des choses vont mal se passer », observe Brice Pinsart. La résilience devra donc permettre de restaurer les données, mais aussi de « revenir en arrière sur les actions des agents » lorsqu’une automatisation produit un résultat destructeur ou sort des politiques établies.
Les entreprises doivent ainsi penser simultanément la sécurisation des agents, la limitation de leurs privilèges, la traçabilité de leurs actions et la restauration des ressources qu’ils peuvent modifier. Ces différents enjeux sont détaillés dans notre article « IA agentique : Comment se prémunir des dix principaux risques cyber ».
NIS2 et DORA ne supprimeront pas les cyberattaques. Elles obligent en revanche les organisations à savoir ce qu’elles doivent protéger, à réunir les décideurs autour de cette priorité et à démontrer qu’elles pourront repartir. La conformité cesse alors d’être un dossier documentaire pour devenir une capacité opérationnelle vérifiable.
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
