Que vous exerciez vos activités en Belgique, aux Pays-Bas ou en France, la directive NIS2 ressemble vite à un projet avec une date de fin. En Belgique, c’était le 18 mars 2025, jour où les entités essentielles et importantes devaient s’enregistrer auprès du Centre pour la Cybersécurité Belgique. Aux Pays-Bas, ce moment approche à grands pas : la loi sur la cybersécurité, la transposition nationale de NIS2, entrera selon toute vraisemblance en vigueur le 1er juillet 2026. En France, la loi Résilience est attendue dans le courant de l’année 2026, avec l’ANSSI comme autorité de contrôle.
Trois pays, une seule et même directive européenne, mais un rythme très différent. Et dans tous les cas, le même risque se cache dans une petite phrase que l’on finit tôt ou tard par entendre dans une salle de conseil : « C’est bon, nous sommes prêts. » Car avec NIS2, la surveillance ne commence qu’au moment où la mise en œuvre se termine.
| Pays | État des lieux |
|---|---|
| Belgique | Loi en vigueur depuis le 18 octobre 2024, l’enregistrement auprès du CCB devait être effectué avant le 18 mars 2025. |
| Pays-Bas | Loi sur la cybersécurité, entrée en vigueur prévue le 1er juillet 2026. D’ici là, la Wbni reste d’application. |
| France | Loi Résilience, promulgation attendue dans le courant de l’année 2026, avec l’ANSSI comme autorité de contrôle. |
Une directive, trois vitesses
La confusion est compréhensible. NIS2 est une directive européenne que chaque État membre doit transposer lui-même dans sa législation nationale, avec le 17 octobre 2024 comme date limite officielle de transposition. La Belgique a respecté ce délai de justesse. Les Pays-Bas et la France ne l’ont pas fait : les organisations néerlandaises relèvent formellement de l’ancienne Wbni jusqu’à l’été 2026, et la France a également reçu une mise en demeure formelle de la Commission européenne pour retard de transposition.
Mais cette différence de calendrier ne change rien aux obligations. Les exigences sous-jacentes sont pratiquement identiques dans toute l’UE, car elles proviennent de la même directive. Une organisation néerlandaise ou française qui attend l’entrée en vigueur pour réfléchir à ses mesures commence exactement aussi tard qu’une organisation belge qui s’est contentée de s’enregistrer en mars 2025 avant de s’arrêter là.
S’enregistrer n’est pas synonyme de conformité
C’est ici que beaucoup d’organisations font fausse route. L’enregistrement ou la date d’entrée en vigueur est traité comme la ligne d’arrivée, alors qu’il s’agit en réalité du coup d’envoi. La directive énumère dans l’intégralité des obligations NIS2 dix mesures de gestion minimales que vous ne mettez pas en place une seule fois, mais que vous devez appliquer et pouvoir démontrer en continu.
L’une de ces mesures, l’article 21(2)(g), mentionne littéralement l’hygiène informatique de base et la formation à la cybersécurité. La formation n’est donc pas un « plus » que l’on propose quand on a du temps, mais une exigence légale. De plus, l’article 20 oblige la direction elle-même à suivre une formation et encourage les organisations à former régulièrement leurs collaborateurs de manière similaire. Sous NIS2, la responsabilité en matière de cybersécurité se situe donc explicitement au niveau de la direction.
S’enregistrer n’est pas synonyme de conformité. La date d’entrée en vigueur est le coup d’envoi, pas la ligne d’arrivée.
Ce que l’autorité de contrôle continue de vérifier
La surveillance est de nature continue dans chaque pays. En Belgique, le CCB peut demander des preuves de manière proactive ; aux Pays-Bas, l’Inspection d’État de l’infrastructure numérique (RDI) jouera un rôle similaire avec les régulateurs sectoriels, et en France, c’est l’ANSSI qui s’en charge. Ce qui revient systématiquement : pouvez-vous démontrer que votre évaluation des risques est à jour, que les incidents sont signalés à temps et que vos mesures sont réellement appliquées ?
Cette charge de la preuve n’est pas une photographie à un instant T. En effet, les attaquants ne restent pas immobiles. L’e-mail de phishing de l’année dernière était encore reconnaissable à une formule d’appel étrange et à un langage hésitant. La variante d’aujourd’hui est rédigée avec l’IA, sans faute, et fait référence à un vrai collègue et à un projet en cours. Votre politique peut donc être parfaitement en règle sur le papier tout en étant en retard sur la pratique.
Le collaborateur comme cible mouvante
De plus, une organisation n’est pas une donnée fixe. De nouveaux collègues arrivent et n’ont jamais suivi la formation de l’année dernière. Les collaborateurs actuels oublient ce qu’ils ont appris, car les connaissances transmises une seule fois s’estompent en quelques mois. Et pendant ce temps, les techniques d’attaque contre lesquelles vous formez vos équipes continuent d’évoluer.
Il en résulte un écart insidieux entre ce que vos collaborateurs devraient reconnaître et ce qu’ils reconnaissent réellement. Cet écart est invisible dans un dossier de conformité, mais c’est la première chose qu’un attaquant exploite. Le facteur humain reste le point de départ de la grande majorité des incidents, et cela ne change pas en déployant un e-learning une seule fois.
Du ponctuel au continu
L’alternative consiste à ne pas traiter la sensibilisation comme une session, mais comme un rythme. Au lieu d’une formation annuelle unique que les gens expédient le plus vite possible, vous travaillez avec des moments courts et récurrents qui s’intègrent dans le flux de travail, alternés avec des simulations de phishing qui mesurent si les connaissances sont réellement ancrées.
Cela résout immédiatement deux problèmes. Cela maintient les connaissances fraîches, car la répétition fait la différence entre savoir quelque chose et faire quelque chose. Et cela vous fournit précisément les preuves exigées par NIS2 : taux de réussite, chiffres de participation et résultats de simulation que vous pouvez présenter lors d’un contrôle. Une approche avec une formation continue de sensibilisation à la sécurité transforme l’obligation de formation en quelque chose que vous pouvez démontrer plutôt qu’en quelque chose que vous espérez pouvoir défendre.
Que votre échéance soit derrière vous ou juste devant vous, le vrai travail ne commence qu’après. NIS2 récompense les organisations qui traitent la directive comme elle a été conçue : comme une manière de travailler, et non comme une liste de cases à cocher.
Ceci est une contribution commerciale de Guardey. La rédaction n’est pas responsable du contenu.