Alors que les discussions autour de la transposition de la directive NIS2 reprennent en France, Anouck Teiller, directrice générale adjointe de HarfangLab, spécialiste européen de la cybersécurité, réagit aux derniers développements. Tribune.
« La reprise de l’examen du projet de loi visant notamment à transposer la directive NIS2 en France marque une étape importante pour renforcer la cybersécurité des entreprises, mais ces dernières ne doivent pas attendre son adoption pour agir. Les délais législatifs ne doivent pas freiner leurs efforts en matière de cybersécurité, alors que les menaces se multiplient et que leurs conséquences sur les activités des entreprises sont de plus en plus concrètes. En 2026, 70 % des dirigeants français estiment qu’un incident cyber pourrait avoir des conséquences importantes sur leur activité ou leurs revenus, et 46 % pensent que leur chiffre d’affaires pourrait être affecté dès le premier jour. Pourtant, 58 % des entreprises considèrent encore la cybersécurité avant tout comme un sujet technique. Un décalage qui montre que, malgré les risques, la cybersécurité n’occupe pas toujours la place qu’elle devrait dans les décisions stratégiques des entreprises.
La directive NIS2 constitue justement une avancée importante pour réduire ce décalage, en faisant de la cybersécurité un véritable enjeu de gouvernance et de continuité d’activité, toutefois ces efforts doivent être engagés dès aujourd’hui, sans attendre d’avantage. Identifier ses dépendances critiques, préparer la continuité de ses opérations, organiser la réponse à incident ou définir les responsabilités en situation de crise sont autant de sujets qui doivent être anticipés bien avant qu’une attaque ne survienne.
Les récentes cyberattaques qui ont touché les systèmes de réfrigération en France et dans plusieurs pays européens montrent bien pourquoi cette préparation est essentielle. Une attaque informatique peut rapidement perturber l’activité d’une entreprise, entraîner des pertes importantes et avoir des conséquences qui vont bien au-delà des systèmes informatiques. Et même une fois l’incident maîtrisé, les risques ne disparaissent pas nécessairement.
L’adoption du texte ne doit donc pas être considérée comme une fin en soi; elle doit permettre d’accompagner et de renforcer les efforts déjà engagés par les entreprises, notamment pour améliorer leur capacité à détecter une attaque, à en limiter les conséquences et à maintenir leurs activités, même dans un environnement dégradé. Car si la réglementation fournit un cadre indispensable, la résilience se construit avant tout sur le terrain, dans la durée, et ne peut se résumer au simple respect des obligations réglementaires. »