Conformité NIS2 et DORA : ces deux cadres européens renforcent les obligations de gouvernance, de gestion des risques et de continuité numérique. Mais une organisation conforme est-elle, pour autant, capable de résister à une crise cyber majeure ? Anthony Coquer, directeur général de Lexing Technologies, aura le plaisir d’animer une table ronde consacrée à cette question devenue centrale pour les dirigeants, les responsables de la conformité, les DSI, les RSSI et les responsables de la continuité d’activité.
Le débat se tiendra le vendredi 18 septembre 2026 à Saint-Malo, dans le cadre du 4e colloque national de Souveraine Tech, consacré à la « Résilience des infrastructures et technologies critiques ». Cette édition réunira des décideurs publics et privés afin d’examiner les conditions permettant de maintenir les services essentiels lorsque les organisations sont confrontées à une cyberattaque, à une panne majeure, à une rupture de la chaîne d’approvisionnement ou à la défaillance d’un prestataire critique (1).
Conformité NIS2 et DORA : dépasser la preuve documentaire
La conformité est indispensable. Elle permet d’identifier les exigences applicables, de définir les responsabilités, de formaliser les politiques et de conserver les éléments permettant de démontrer la mise en œuvre des mesures attendues. Elle structure également les contrôles, les plans d’action et le dialogue avec les autorités de supervision.
Toutefois, la présence de procédures, de matrices de risques et de comptes rendus de contrôle ne garantit pas, à elle seule, que l’organisation saura agir lorsque les conditions normales de fonctionnement auront disparu. La résilience est une capacité opérationnelle. Elle se mesure dans la rapidité de la détection, la qualité de la décision, le maintien des fonctions prioritaires, la maîtrise des dépendances et l’efficacité du rétablissement.
En d’autres termes, la documentation doit traduire des pratiques réellement appropriées par les équipes, connues des dirigeants et éprouvées lors d’exercices réalistes.
NIS2 : une gouvernance opérationnelle de la cybersécurité
La directive NIS2 vise à assurer un niveau élevé commun de cybersécurité dans l’Union européenne. Elle place la gestion des risques au cœur de la gouvernance et prévoit notamment des mesures relatives au traitement des incidents, à la continuité des activités, à la gestion des crises, à la sécurité de la chaîne d’approvisionnement, à la gestion des vulnérabilités et à l’authentification renforcée. Elle impose également une implication directe des organes de direction, qui doivent approuver les mesures de gestion des risques et superviser leur mise en œuvre (2).
La cybersécurité doit être intégrée aux arbitrages stratégiques, budgétaires et opérationnels. Les dirigeants doivent connaître les services essentiels, les scénarios redoutés, les dépendances critiques et les conséquences d’une interruption prolongée.
DORA : tester la résilience opérationnelle numérique
Le règlement DORA poursuit une logique comparable dans le secteur financier. Il organise la gestion des risques liés aux technologies de l’information et de la communication, la classification et la notification des incidents, les tests de résilience opérationnelle numérique, le partage d’informations et la maîtrise des risques liés aux prestataires de services TIC. Le texte s’applique depuis le 17 janvier 2025 et place la capacité de continuité et de rétablissement au centre du dispositif (3).
DORA exige donc des tests réguliers couvrant les systèmes critiques, les tiers, les sauvegardes et la communication de crise. Leurs résultats doivent aboutir à des corrections suivies dans une logique d’amélioration continue. Les conformité NIS2 et DORA supposent de prouver que les fonctions essentielles peuvent être maintenues ou restaurées dans des délais prévus.
Une table ronde aux regards croisés
Pour confronter les exigences réglementaires aux réalités opérationnelles, la table ronde réunira Philippe Latombe, député de Vendée, Nouamane Cherkaoui, représentant BPCE-SI, et Auriane Lemesle, du GCS e-Santé Pays de la Loire et de l’APSSIS. Les secteurs financiers et sanitaires offrent des exemples éclairants : ils reposent sur des systèmes interconnectés, traitent des données sensibles et doivent assurer la continuité de services dont l’interruption peut entraîner des conséquences économiques, sociales ou humaines majeures.
Anthony Coquer animera les échanges en s’attachant à faire émerger des réponses concrètes. Comment distinguer une conformité déclarative d’une résilience démontrée ? Quels indicateurs présenter aux dirigeants ? Comment intégrer les prestataires critiques aux exercices ? À quel moment faut-il déclencher le mode dégradé ? Comment arbitrer entre sécurité, disponibilité et rapidité de rétablissement ?
La diversité des intervenants permettra également d’interroger le rôle de la puissance publique, des autorités de supervision et des opérateurs. La résilience des infrastructures critiques dépend en effet de la coordination entre de nombreux acteurs. Elle suppose des mécanismes d’alerte fiables, des responsabilités clairement établies, des canaux de communication alternatifs et une capacité à partager rapidement les informations utiles sans aggraver la crise.
De la conformité à la preuve de résilience
Plusieurs critères permettent de vérifier que la démarche dépasse la seule production documentaire. Tout d’abord, les fonctions essentielles doivent être identifiées et hiérarchisées. Ensuite, l’organisation doit connaître les ressources, applications, données, personnes et prestataires dont elles dépendent. Elle doit également fixer des objectifs de continuité et de rétablissement cohérents avec les besoins métiers.
Par ailleurs, les dispositifs doivent être testés dans des conditions suffisamment réalistes : indisponibilité d’un fournisseur de cloud, compromission d’un compte d’administration, corruption des sauvegardes, interruption des communications ou indisponibilité d’un site. Les exercices doivent impliquer les décideurs et ne pas se limiter aux équipes techniques. Enfin, chaque test ou incident doit déboucher sur un retour d’expérience, un responsable, une échéance et une vérification de l’efficacité des mesures correctrices.
Les conformités NIS2 et DORA peuvent ainsi devenir un puissant accélérateur de maturité, à condition d’être utilisées comme un cadre de transformation.
Rendez-vous le 18 septembre 2026 à Saint-Malo
Le 4e colloque national de Souveraine Tech se déroulera au Palais du Grand Large à Saint-Malo. La bande-annonce de l’événement présente les intervenants et l’ambition de cette édition consacrée à la résilience des infrastructures et technologies critiques (4).
Conformité NIS2 et DORA : rendez-vous à Saint-Malo pour déterminer comment transformer les obligations réglementaires en une capacité réelle, mesurable et durable de résistance, de continuité et de rétablissement.
• Souveraine Tech, « 4e colloque – Résilience des infrastructures et technologies critiques », 18-9-2026, Saint-Malo.
• Parlement européen et Conseil, Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’Union, Journal officiel de l’Union européenne, 14 décembre 2022.
• Parlement européen et Conseil, Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, Journal officiel de l’Union européenne, 14-12-2022.
• Souveraine Tech, « Bande-annonce du 4e colloque national », YouTube, 2026.
