Sur un chantier industriel, le responsable HSE découvre lors d’un audit interne que les fiches de données de sécurité n’ont pas été mises à jour depuis deux ans. Les opérateurs travaillent avec des équipements conformes à une version obsolète de la norme applicable. Ce type de situation, courant dans les PME comme dans les grands groupes, illustre un problème concret : la conformité aux normes de sécurité se dégrade dès qu’on cesse de la piloter activement.
Directive NIS2 et obligation de déclaration des incidents en entreprise
Depuis la transposition de la directive NIS2 (Directive UE 2022/2555), les opérateurs considérés comme essentiels en Europe doivent déclarer tout incident critique sous 24 heures. On passe d’un régime où la déclaration pouvait attendre plusieurs jours à une contrainte quasi temps réel.
Lire également : Manquements graves de l'employeur : une analyse détaillée
En pratique, cette obligation change la manière dont on organise la veille sécurité. Il ne suffit plus d’avoir un plan de réponse aux incidents rangé dans un classeur. Il faut un processus de détection, de qualification et de remontée qui fonctionne y compris la nuit et le week-end.
Pour les structures de taille moyenne, c’est souvent le point de friction : les équipes ne sont pas dimensionnées pour une astreinte permanente. NIS2 pousse les PME à externaliser ou mutualiser leur surveillance, ce qui modifie leur rapport aux prestataires de sécurité informatique.
A lire en complément : Abus de pouvoir : une analyse approfondie
Ce que NIS2 change concrètement sur le terrain
- Le délai de déclaration passe à 24 heures pour les incidents critiques, contre des délais plus souples auparavant
- Les sanctions en cas de non-conformité sont renforcées, avec une responsabilité qui remonte aux dirigeants
- La directive couvre un périmètre élargi de secteurs (énergie, transports, santé, infrastructure numérique), ce qui touche des entreprises qui n’étaient pas concernées avant
Analyse des risques : EBIOS, MEHARI et OCTAVE sur le terrain
Quand on doit choisir une méthode d’analyse des risques, on se retrouve face à trois noms qui reviennent systématiquement : EBIOS, MEHARI et OCTAVE. Les trois visent le même objectif (identifier, évaluer et traiter les risques), mais leur philosophie diffère.
EBIOS, développée par l’ANSSI, part des scénarios de menace. On construit des chemins d’attaque plausibles, puis on évalue leur impact. C’est une approche qui fonctionne bien quand on a une vision claire de son écosystème numérique, mais qui demande du temps et de l’expertise.
MEHARI propose une logique différente : on évalue d’abord les services de sécurité existants, puis on mesure l’écart avec le niveau attendu. MEHARI convient aux organisations qui veulent auditer l’existant avant de planifier.
OCTAVE et l’approche par les actifs
OCTAVE se concentre sur les actifs critiques de l’organisation. On identifie ce qui a le plus de valeur (données clients, propriété intellectuelle, continuité de production), puis on cartographie les menaces associées. Cette méthode est souvent adoptée dans les contextes nord-américains, mais elle s’adapte à toute structure qui raisonne par priorité business.
Les retours varient sur ce point : certaines équipes trouvent OCTAVE plus intuitif parce qu’il part du concret (les actifs), d’autres lui reprochent de sous-estimer les scénarios d’attaque complexes que l’on traite mieux avec EBIOS.
Normes ISO applicables à la gestion de la sécurité en entreprise
La norme ISO 27001 reste la référence pour structurer un système de management de la sécurité de l’information. Son intérêt principal n’est pas le certificat en lui-même, mais le cadre qu’elle impose : inventaire des actifs, évaluation des risques, plan de traitement, revue de direction.
Ce que l’on observe sur le terrain, c’est que beaucoup d’entreprises adoptent le cadre ISO 27001 sans aller jusqu’à la certification. Elles utilisent la structure pour organiser leur démarche de prévention, sans supporter le coût et la lourdeur d’un audit de certification.
L’ISO 42001, plus récente, cible spécifiquement la gestion des risques liés à l’intelligence artificielle. Le rapport ENISA « Artificial Intelligence Cybersecurity Challenges » documente la montée de ce framework, qui répond à un besoin nouveau : encadrer les modèles d’IA déployés dans des environnements sensibles.
Zero trust et évolution des référentiels
Le modèle zero trust ne constitue pas une norme au sens strict, mais il influence de plus en plus les référentiels existants. Le principe est simple : ne faire confiance à aucun utilisateur ou appareil par défaut, même à l’intérieur du réseau.
Le rapport Verizon DBIR 2025 souligne une adoption en forte progression de cette approche dans les PME, avec des retours qualitatifs positifs sur la réduction des brèches internes. Quand on déploie du zero trust, on force la segmentation réseau et l’authentification continue, ce qui complique la vie des attaquants latéraux.
Limites des audits SOC 2 face aux risques post-quantiques
Les audits SOC 2 Type II sont devenus un standard pour évaluer la sécurité des fournisseurs cloud. On vérifie que les contrôles de sécurité fonctionnent effectivement sur une période donnée, pas seulement qu’ils existent sur le papier.
Le problème, c’est que les audits SOC 2 n’intègrent pas encore les risques liés à l’informatique quantique. Les guidelines NIST SP 800-208 reconnaissent cette limite : les algorithmes de chiffrement actuels, validés dans le cadre SOC 2, pourraient devenir vulnérables face à un ordinateur quantique suffisamment puissant.
Pour une entreprise qui choisit aujourd’hui un prestataire cloud, cette divergence pose une question concrète : un fournisseur certifié SOC 2 n’est pas nécessairement préparé aux menaces de demain. Il faut aller au-delà du rapport d’audit et interroger le prestataire sur sa feuille de route cryptographique.
Évaluation des risques : au-delà de la conformité documentaire
Un audit réussi ne garantit pas une sécurité réelle. On peut cocher toutes les cases d’un référentiel et rester vulnérable à une attaque ciblée. La gestion des risques demande une réévaluation continue, pas un exercice annuel.
Les méthodes d’analyse comme EBIOS ou MEHARI ne produisent de résultats fiables que si elles sont alimentées par des données à jour : cartographie réseau actualisée, inventaire des accès, journaux d’incidents récents. Sans cette matière première, l’évaluation reste théorique.
La conformité aux normes de sécurité ne se résume pas à obtenir un tampon. Le vrai indicateur, c’est la capacité d’une organisation à détecter un écart, au qualifier et au corriger avant qu’il ne devienne un incident. Les référentiels fournissent le cadre, mais c’est la discipline opérationnelle quotidienne qui fait la différence entre une entreprise protégée et une entreprise exposée.
