La réglementation établit un niveau de sécurité minimal, mais les cybermenaces évoluent plus vite que la législation. C'est pourquoi une organisation qui satisfait formellement aux exigences n'est pas pour autant automatiquement résiliente.

La différence apparaît lorsque les mesures sont mises à l’épreuve. Les politiques, procédures et solutions techniques doivent être complétées par des tests périodiques et des simulations d’incidents cyber afin de vérifier comment l’organisation réagit, rétablit les systèmes touchés et maintient son activité.

La question n’est pas seulement de savoir s’il existe un plan de continuité d’activité ou une procédure de réponse aux incidents, mais si l’organisation est réellement capable de mettre ce plan en pratique lorsqu’un incident affecte des systèmes et des services critiques.

En définitive, la cyberrésilience ne se résume pas à protéger l’infrastructure IT : elle désigne la capacité de l’entreprise à continuer de fonctionner et de fournir des services essentiels pendant et après un incident.

La conformité doit pouvoir être démontrée

Avec l’ordonnance DNSC n° 1/2026, la question pour les organisations concernées n’est plus simplement “NIS2 s’applique-t-elle à nous ?”, mais aussi “Comprenons-nous les risques auxquels nous sommes exposés, avons-nous mis en place les mesures nécessaires et pouvons-nous démontrer qu’elles fonctionnent ?”

L’objectif n’est pas simplement de cocher des cases de conformité ou de préparer de la documentation pour un audit. L’évaluation des risques, l’évaluation de la maturité, la remédiation, la mise en œuvre et le test des mesures de sécurité doivent former un processus continu par lequel la conformité contribue réellement à renforcer la résilience de l’organisation.