Retour d’expérience : les points ci-dessous synthétisent une approche de terrain de la fonction RSSI, centrée sur la capacité à transformer exigences et risques en décisions et actions concrètes.
Une responsabilité de gouvernance
NIS2 met l’accent sur la gestion des risques et sur la responsabilité de l’organisation. Cela renforce la nécessité d’un pilotage formel, documenté et suivi.
Consolider plutôt que dupliquer
L’enjeu n’est pas de créer une gouvernance NIS2 séparée. Il est plus efficace d’intégrer les exigences dans la PSSI, la gestion des risques, la continuité, les incidents et le suivi des fournisseurs.
Préparer les preuves
Politiques, décisions, plans d’action, comptes rendus de revues, exercices et éléments techniques constituent la preuve que les mesures sont réellement mises en œuvre.
Associer la chaîne d’approvisionnement
La sécurité des prestataires et fournisseurs devient un sujet majeur : exigences contractuelles, accès, hébergement, notification d’incident, continuité et réversibilité.
Faire de la conformité un levier
Une obligation réglementaire peut devenir un levier de gouvernance si elle aide à obtenir des arbitrages, formaliser des responsabilités et rendre les risques visibles.
La cybersécurité gagne en efficacité lorsqu’elle est traitée comme un processus de gouvernance continu : comprendre, décider, agir, vérifier et améliorer.
Pour aller plus loin
Consultez les pages consacrées à la gouvernance SSI, à la gestion des risques, à la conformité et à la résilience.