La directive NIS2 devait être transposée dans le droit national des États membres au plus tard en octobre 2024.
Sur le papier, le calendrier était clair.
Dans la réalité française, il est devenu… indicatif.
Pendant que la France tergiverse sur la transposition juridique de NIS2,
les attaques, elles, ne respectent aucun délai réglementaire :
- ransomware quotidiens,
- collectivités paralysées,
- hôpitaux sous tension,
- systèmes d’information exposés par manque d’anticipation.
Le plus ironique ?
Ce retard n’est pas une anomalie. Il est révélateur.
Révélateur d’une habitude bien française :
👉 attendre que ce soit obligatoire pour commencer à réfléchir à comment on va s’y conformer,
👉 puis attendre le rappel,
👉 parfois jusqu’à la sanction,
👉 avant d’agir.
NIS2 n’est donc pas seulement une directive européenne en attente de transposition.
Elle est le miroir grossissant d’un problème bien plus profond :
une culture de la cybersécurité pensée comme une contrainte réglementaire, et non comme un enjeu de survie opérationnelle.
Rappel de NIS2 : NIS2 : La cybersécurité devient (enfin) sérieuse… et obligatoire !
Et c’est précisément pour cette raison que le vrai danger n’est pas le retard de la loi,
mais ce qu’il révèle de notre rapport collectif au risque numérique.
En France, la cybersécurité fonctionne comme un vieux détecteur de fumée :
on enlève la pile quand ça bippe trop tôt,
on la remet quand ça brûle,
et on lance un audit quand il n’y a plus que les cendres.
⏳ Le sport national : attendre que ce soit obligatoire
Le scénario est connu, documenté, reproductible à l’infini :
- Un risque est identifié → “on verra plus tard”
- Une directive européenne sort → “pas encore transposée”
- Une loi est annoncée → “on attend le décret”
- Le décret arrive → “il faut une FAQ”
- Le rappel tombe → “on monte un groupe de travail”
- La sanction arrive → “il faut un budget”
- L’attaque arrive → “il faut comprendre ce qui s’est passé”
👉 La cybersécurité française ne démarre jamais au risque.
Elle démarre à la contrainte.
📜 La religion du texte officiel
Sans :
- décret d’application,
- guide ministériel,
- FAQ de 47 pages,
- webinaire institutionnel avec replay,
👉 rien ne bouge.
La cybersécurité devient une question de conformité documentaire :
- “Avons-nous une politique ?”
- “Est-elle signée ?”
- “Est-elle diffusée ?”
Peu importe si :
- elle n’est pas appliquée,
- elle n’est pas comprise,
- elle n’est pas mesurée.
L’important, c’est qu’elle existe quelque part.
🧠 Penser sanction avant de penser incident
La question qui revient toujours n’est pas :
“Quel est notre risque réel ?”
Mais :
“Qu’est-ce qu’on risque juridiquement ?”
C’est là que tout se joue.
Tant que :
- ce n’est pas audité,
- ce n’est pas contrôlé,
- ce n’est pas sanctionné,
👉 ce n’est pas prioritaire.
Un ransomware, c’est abstrait.
Une amende, c’est concret.
Un article de presse, c’est terrifiant.
🚒 La culture du pompier, jamais de l’architecte
On adore intervenir après :
- PRA après la panne majeure
- MFA après le compte admin compromis
- Journalisation après l’intrusion
- Sauvegardes après le chiffrement
- Sensibilisation après la fuite de données
En revanche :
- anticipation,
- cartographie,
- réduction de surface d’attaque,
- hygiène IAM,
👉 “On verra plus tard, ce n’est pas prioritaire.”
🧾 NIS2 : révélateur, pas solution
NIS2 n’est pas en retard.
Elle arrive face à un écosystème qui attend d’être forcé.
Elle ne va pas :
- corriger des AD pourris,
- sécuriser des VPN sans MFA,
- réparer des prestataires sur-privilégiés,
- transformer une gouvernance inexistante.
Elle va juste :
- exposer les écarts,
- documenter l’impréparation,
- formaliser le retard.
🏢 Le vrai problème est managérial, pas technique
La cybersécurité reste trop souvent perçue comme :
- un sujet IT,
- un centre de coût,
- une contrainte réglementaire.
Pas comme :
- un enjeu de continuité,
- un risque stratégique,
- un sujet de gouvernance.
Tant qu’elle ne monte pas :
- au COMEX,
- au conseil d’administration,
- dans la gestion du risque global,
👉 elle restera un mal nécessaire, jamais une priorité.
⚠️ Ce qui va se passer (spoiler, encore)
- Transposition de NIS2
- Phase d’attentisme généralisée
- Premiers contrôles symboliques
- Une sanction médiatisée
- Panique collective
- Explosion des demandes d’audit express
- Budgets débloqués dans l’urgence
- Solutions mal intégrées
- Dette technique + dette organisationnelle
Puis on recommence.
🧨 La punchline SecuSlice
En France, on ne fait pas de cybersécurité pour être en sécurité.
On en fait pour être tranquilles juridiquement.
Et tant que cette logique dominera :
- les lois arriveront trop tard,
- les attaques arriveront trop tôt,
- et les mêmes erreurs seront recyclées sous un nouveau sigle.
