Le calendrier, sans dramatiser
Une directive européenne doit être traduite dans le droit de chaque pays. Ce travail prend du temps, et les modalités précises - quelles entreprises, quelles obligations exactes, quels contrôles - se sont clarifiées progressivement.
Autrement dit : personne ne vous demandera de comptes du jour au lendemain. Mais la direction est claire, et elle ne changera pas.
Le vrai déclencheur, ce sera votre client
C'est le point à retenir. Les entités directement concernées doivent sécuriser leur chaîne d'approvisionnement. Elles vont donc interroger leurs fournisseurs - donc peut-être vous.
Ce questionnaire ne viendra pas d'un inspecteur, mais du service achats d'un donneur d'ordre. Et il aura une conséquence très concrète : garder ou perdre le marché.
Les questions auxquelles il faut savoir répondre
- Comment gérez-vous les accès à vos systèmes ? Y a-t-il de la double authentification ?
- Vos sauvegardes sont-elles testées ? À quelle fréquence ?
- Que se passe-t-il si vous subissez un incident ? Qui prévenez-vous, sous quel délai ?
- Vos systèmes sont-ils à jour ? Qui s'en assure ?
- Vos collaborateurs sont-ils sensibilisés ?
Aucune de ces questions n'est technique. Elles portent sur votre organisation.
Ce qui suffit pour être serein
Un document de deux pages qui répond à ces questions. Pas une politique de sécurité de cinquante pages que personne ne lira : un état des lieux honnête, daté, avec ce qui est en place et ce qui est prévu.
Les entreprises capables de sortir ce document en deux jours font bonne impression. Celles qui mettent trois semaines à improviser une réponse, beaucoup moins.
Et si on n'est concerné par rien ?
Tant mieux - et faites-le quand même. Tout ce que demande NIS2 relève des bonnes pratiques élémentaires. Ce n'est pas du travail perdu : c'est ce qui vous évitera un rançongiciel l'année prochaine.
