# NIS2 n'est pas un projet informatique : pourquoi les entreprises doivent repenser leur cybersécurité > SwissGRC® erklärt, warum NIS2 kein IT-Projekt ist, sondern Resilienz und Verantwortung der Geschäftsleitung verlangt. Der Beitrag richtet sich an Organisationen und zeigt Unterschiede zur DSGVO sowie sechs konkrete Schritte. - URL: https://swissgrc.com/fr/nis2-pas-projet-informatique-repenser-cybersecurite__trashed/ - Éditeur: SwissGRC® - Publié: 2026-05-06 - Dernière mise à jour: 2026-09-17 ## Points clés - Laut SwissGRC® verschiebt NIS2 den Fokus von Dokumentation und Nachweisen auf Wirksamkeit und Resilienz. - Nach den im Text zitierten BSI-Hinweisen muss die Geschäftsleitung Sicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und regelmäßig über das Sicherheitsniveau informiert werden. - Der Text nennt unter Verweis auf die ENISA rund 30 000 Unternehmen allein in Deutschland, die von NIS2 betroffen sein sollen, deutlich mehr als zuvor unter KRITIS reguliert waren. - NIS2 verlangt ein strukturiertes Risikomanagement, Meldeprozesse für Vorfälle, Fähigkeiten zur Reaktion auf Vorfälle, Business-Continuity-Planung und die Berücksichtigung von Lieferkettenrisiken. - SwissGRC® hält Tabellenkalkulationen und isolierte Werkzeuge für unzureichend, weil Cyber-Resilienz dynamisch ist und Meldepflichten Schnelligkeit und Transparenz erfordern. - Als Einstieg nennt SwissGRC® den NIS2 Readiness Check, der in wenigen Minuten den Stand einer Organisation zeigt, sowie einen Discovery Call mit Experten. **Lorsqu’il est question de NIS2 aujourd’hui, une comparaison revient sans cesse : « ce sera le RGPD de la cybersécurité ». Elle paraît logique, mais elle est trompeuse et engage de nombreuses organisations sur une mauvaise voie.** La [directive NIS2](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32022L2555) n'est pas un simple texte de conformité. Elle transforme en profondeur la manière dont les organisations doivent aborder le risque numérique, en déplaçant l'attention de la documentation vers la résilience, la stabilité opérationnelle et la responsabilité au niveau de la direction. De nombreuses organisations sous-estiment précisément cette distinction et s'exposent ainsi non seulement à des conséquences réglementaires, mais aussi à des interruptions d'activité, à une atteinte à leur réputation et à une exposition financière significative. Pour une vue plus large des effets de cette évolution sur le travail quotidien de gouvernance, voir notre article [Quand la GRC a cessé d'être périodique pour devenir un travail de tous les jours](https://swissgrc.com/fr/when-grc-stopped-being-periodic-and-became-everyday-work/). ## Pourquoi la comparaison avec le RGPD ne tient pas Le RGPD a installé dans de nombreuses organisations une méthode éprouvée, et cette logique est profondément ancrée : | Critère | Approche RGPD | Exigence NIS2 | | --- | --- | --- | | Orientation | Documentation et preuves | Efficacité et résilience | | Objectif | Réussir l'audit | Rester opérationnel sous attaque | | Responsabilité | Délégué à la protection des données | Directement la direction générale | | Nature | Documentation statique | Gestion dynamique des risques | | Réaction | Répondre aux demandes | Déclarer et gérer activement les incidents | L'attention se déplace de la « conformité » vers la « cyber-résilience », et il ne s'agit pas d'une évolution progressive, mais d'un changement de cap fondamental. ## NIS2 fait de la cybersécurité une responsabilité de la direction L'une des évolutions les plus significatives introduites par NIS2 concerne le niveau exécutif. La cybersécurité ne peut plus être traitée comme la seule responsabilité du département informatique. Selon les [orientations du BSI sur la mise en œuvre de NIS2](https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/NIS2/NIS2_node.html), la direction générale doit approuver les mesures de sécurité, superviser leur exécution et être régulièrement informée du niveau de sécurité de l'organisation. Cela remodèle en profondeur les [structures de gouvernance](https://swissgrc.com/fr/risk-management-software/) de nombreuses organisations : **Gouvernance d'entreprise** Les cyber-risques intègrent l'agenda stratégique de la direction **Portée stratégique** Les décisions de sécurité remontent au conseil d'administration **Responsabilité personnelle** L'exposition juridique des dirigeants passe nettement au premier plan **Budget et priorités** Les investissements de sécurité sont réévalués et repriorisés **La résilience comme avantage concurrentiel** La solidité cyber devient un facteur de différenciation mesurable sur le marché La cybersécurité passe du statut de discipline technique à celui d'enjeu de bonne gouvernance d'entreprise. ## Les entreprises de taille intermédiaire sont particulièrement sous pression De nombreuses organisations pensent encore que NIS2 ne s'applique qu'aux opérateurs d'infrastructures critiques. La réalité est bien plus large : 30 000 **entreprises rien qu'en Allemagne** seraient concernées par les nouvelles exigences NIS2, soit bien plus que ce qui était auparavant réglementé au titre de KRITIS. [Source : ENISA – NIS2 Overview](https://www.enisa.europa.eu/topics/cybersecurity-policy/nis-directive-new) Les organisations concernées relèvent de secteurs très variés : Industrie et production Santé Logistique et transport Services informatiques et cloud Industrie agroalimentaire Approvisionnement en énergie Services numériques L'effet chaîne d'approvisionnement Même les organisations qui ne sont pas directement réglementées subissent une pression croissante, car leurs clients, partenaires et donneurs d'ordre exigent des normes de sécurité plus élevées. NIS2 impose explicitement la [gestion des risques liés à la chaîne d'approvisionnement](https://swissgrc.com/fr/tprm-software/), ce qui étend sa portée bien au-delà des entités directement réglementées. Pour aller plus loin : [Repenser la gestion des risques fournisseurs →](https://swissgrc.com/fr/when-risk-enters-through-the-front-door-rethinking-vendor-risk-management/) ## Le véritable problème : le manque de visibilité Dans de nombreuses organisations, l'infrastructure informatique s'est développée de manière organique au fil des années. Solutions cloud, prestataires externes, modèles de travail hybrides et environnements systèmes complexes créent de nouvelles dépendances, alors qu'une vue d'ensemble fait souvent défaut sur les points suivants : - Quels systèmes sont critiques pour l'activité ? - Où se situent les risques et les vulnérabilités les plus importants ? - Qui est responsable de quoi ? - Quels tiers ont accès aux données sensibles ? - Que se passe-t-il en cas d'urgence, et qui pilote la réponse ? C'est précisément là que NIS2 intervient. La directive exige une transformation organisationnelle, et non le simple ajout de mesures de sécurité isolées. Concrètement, la directive impose une [gestion des risques](https://swissgrc.com/fr/risk-management-software/) structurée, des processus de déclaration des incidents, des capacités de réponse aux incidents, une planification de la continuité d'activité et la prise en compte des risques liés à la chaîne d'approvisionnement. Le [BSI fournit des orientations concrètes de mise en œuvre](https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/NIS2/NIS2_node.html) pour accompagner les organisations dans cette démarche. --- ## Pourquoi les tableurs et les outils cloisonnés ne suffisent pas De nombreuses organisations tentent encore de traiter NIS2 à l'aide de tableurs, de dossiers partagés et d'outils isolés. Le problème de fond de cette approche : Le problème de fond La cyber-résilience est **dynamique**. Les risques évoluent en permanence. Les fournisseurs changent. Des vulnérabilités apparaissent chaque jour. Les obligations de déclaration exigent rapidité et transparence, deux qualités qu'une documentation statique ne peut offrir. Les organisations ont besoin de [structures intégrées de gouvernance, risques et conformité](https://swissgrc.com/fr/solutions/) qui réunissent en un même endroit les risques, les mesures, les contrôles, les processus et les responsabilités. C'est à cette seule condition qu'il devient possible de : - Hiérarchiser et piloter les risques en continu - Mettre en œuvre et suivre efficacement les mesures - Produire des preuves à tout moment et de façon complète - Gérer les incidents efficacement et dans les délais requis - Satisfaire durablement aux exigences réglementaires ## NIS2 change la façon dont les organisations envisagent la cybersécurité Le point le plus important est peut-être systématiquement négligé dans le débat : **NIS2 n'est pas une simple charge réglementaire.** La directive contraint les organisations à porter un regard structuré et honnête sur leur résilience numérique, et c'est précisément là que réside, à long terme, l'avantage stratégique. Les organisations dotées d'une forte cyber-résilience en tirent les bénéfices suivants : - Des opérations plus stables - Un risque d'interruption réduit - Une confiance accrue des clients et des partenaires - Une meilleure assurabilité - Un positionnement concurrentiel plus solide - Une plus grande sécurité réglementaire Selon l'[ENISA Threat Landscape 2024](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024), la fréquence et la sophistication des cyberattaques visant les organisations européennes continuent d'augmenter. La cybersécurité devient un facteur de plus en plus déterminant pour la valeur de l'entreprise à long terme et pour sa pérennité. --- ## Le moment d'agir, c'est maintenant De nombreuses organisations attendent encore une clarté complète sur les lois de transposition nationales ou des orientations réglementaires précises. C'est une posture risquée : le paysage des menaces évolue plus vite que les processus réglementaires, et les attentes des clients, des partenaires, des assureurs et des autorités de supervision ne cessent de croître. Plutôt que d'attendre que la pression réglementaire les oblige à agir, les organisations devraient prendre l'initiative. Un point de départ concret : le [NIS2 Readiness Check](https://nis2compliant.app), qui montre en quelques minutes où se situe votre organisation. Vous pouvez aussi échanger directement avec nos experts lors d'un [Discovery Call](https://swissgrc.com/fr/discoverycall/) : 1. Évaluer l'applicabilité : êtes-vous concerné directement ou indirectement ? 2. Définir les structures de gouvernance : qui porte la responsabilité en interne ? 3. Évaluer les risques de façon systématique : où se situent les lacunes critiques ? 4. Établir les processus : canaux de déclaration, réponse aux incidents, BCM 5. Clarifier les responsabilités, jusqu'à la direction générale incluse 6. Ancrer la résilience dans la stratégie, comme objectif organisationnel permanent Car au fond, NIS2 ne concerne pas seulement la conformité. Il s'agit de la capacité d'une organisation à rester opérationnelle, même sous attaque numérique active. ## Questions fréquentes ### Warum ist NIS2 nicht mit der DSGVO vergleichbar? Die DSGVO-Logik zielt auf Dokumentation und Nachweise, um ein Audit zu bestehen. NIS2 verlangt dagegen Wirksamkeit und Resilienz, also den Betrieb auch unter Angriff aufrechtzuerhalten, und legt die Verantwortung direkt bei der Geschäftsleitung. ### Wer ist bei NIS2 für Cybersicherheit verantwortlich? Cybersicherheit ist nicht mehr allein Sache der IT-Abteilung. Die Geschäftsleitung muss Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und regelmäßig über das Sicherheitsniveau informiert werden. ### Gilt NIS2 nur für Betreiber kritischer Infrastrukturen? Nein. Laut Text sollen allein in Deutschland rund 30 000 Unternehmen betroffen sein, aus Branchen wie Industrie, Gesundheit, Logistik, IT- und Cloud-Dienste, Lebensmittelindustrie, Energieversorgung und digitale Dienste. Auch nicht direkt regulierte Organisationen spüren Druck über die Lieferkette. ### Warum reichen Tabellen und isolierte Tools für NIS2 nicht aus? Risiken, Lieferanten und Schwachstellen ändern sich laufend, und Meldepflichten verlangen Schnelligkeit und Transparenz. Statische Dokumentation kann das nicht leisten, weshalb integrierte GRC-Strukturen nötig sind. ### Welche ersten Schritte empfiehlt SwissGRC® für NIS2? Der Text nennt sechs Schritte: Betroffenheit prüfen, Governance-Strukturen festlegen, Risiken systematisch bewerten, Prozesse wie Meldewege, Incident Response und BCM aufbauen, Verantwortlichkeiten bis zur Geschäftsleitung klären und Resilienz in der Strategie verankern.