fr
Cybersécurité : maîtriser les risques de son écosystème (NIS 2, DORA, CRA…)
NIS 2, DORA et le CRA redessinent la gestion des risques cyber tiers. Guide pratique pour les dirigeants, RSSI et acheteurs.
En 2026, la question n'est plus seulement « suis-je bien protégé ? », mais « mon écosystème l'est-il ? ». Attaque par la chaîne d'approvisionnement, dépendance à un prestataire cloud unique, vulnérabilité exploitée dans un logiciel tiers : la surface de risque d'une organisation s'étend désormais bien au-delà de son propre périmètre. Trois textes européens transforment cette réalité en obligation : la directive NIS 2, le règlement DORA et le Cyber Resilience Act (CRA). Pour les dirigeants, les RSSI et les acheteurs, la gestion des risques cyber tiers n'est plus un sujet purement technique : c'est un enjeu de gouvernance, de contrat et de responsabilité. Ce guide fait le point sur les trois textes, leurs échéances et les réflexes à adopter pour reprendre la main sur un écosystème de plus en plus interdépendant.
Le maillon faible n'est plus chez vous
Longtemps, la cybersécurité s'est pensée à l'échelle du système d'information interne. Or une part croissante des incidents majeurs trouve son origine chez un fournisseur : un prestataire d'infogérance compromis, un éditeur dont la mise à jour est piégée, un sous-traitant qui détient un accès privilégié. Un attaquant n'a pas besoin de forcer votre forteresse s'il peut emprunter la porte de service d'un partenaire moins vigilant.
Ce déplacement du risque a une conséquence directe : la conformité ne s'arrête plus à vos murs. Elle se propage à votre chaîne de valeur, du premier fournisseur au dernier sous-traitant. C'est précisément la logique que portent NIS 2, DORA et le CRA, chacun sur un terrain différent.
NIS 2 : la conformité qui descend la chaîne d'approvisionnement
La directive NIS 2 (UE) 2022/2555 élargit considérablement le périmètre de la cybersécurité européenne : dix-huit secteurs critiques, des milliers d'organisations réparties entre entités essentielles et entités importantes. Elle impose une gestion des risques, des obligations de notification d'incidents et — point souvent sous-estimé — des exigences de sécurité applicables à la chaîne d'approvisionnement. La responsabilité des dirigeants est engagée personnellement.
En France, la transposition du texte n'était pas encore finalisée à l'été 2026 : le projet de loi relatif à la résilience des infrastructures critiques poursuit son parcours parlementaire. L'ANSSI prépare le terrain avec un référentiel (ReCyF) publié à titre de travail, et la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026 pour défaut de notification. Entre 15 000 et 18 000 entités françaises devraient être concernées. Autrement dit : la conformité NIS 2 approche, et il est temps de cartographier vos fournisseurs plutôt que d'attendre le décret.
DORA : le prestataire TIC devient un risque réglementé
Le règlement DORA (UE) 2022/2554, applicable depuis le 17 janvier 2025, vise le secteur financier — banques, assurances, prestataires de paiement et bien d'autres. Son impact sur les prestataires est structurant : la résilience opérationnelle numérique repose sur cinq piliers, dont la gestion du risque lié aux tiers de services TIC.
Concrètement, une entité financière doit tenir un registre d'information recensant tous ses accords TIC, exiger des clauses contractuelles précises (article 30), évaluer la criticité de chaque prestataire et surveiller ceux dont la défaillance menacerait la continuité. Les prestataires tiers critiques peuvent être placés sous supervision directe des autorités européennes. L'impact du règlement DORA sur les prestataires est donc double : ils doivent eux-mêmes se conformer, et leurs clients financiers les y contraignent par contrat.
CRA : sécuriser les produits, de la conception au support
Le Cyber Resilience Act (règlement (UE) 2024/2847), en vigueur depuis le 10 décembre 2024, change de focale : il porte sur les produits comportant des éléments numériques — objets connectés, logiciels, composants. Les exigences Cyber Resilience Act UE imposent aux fabricants d'intégrer la sécurité dès la conception, de gérer les vulnérabilités tout au long du cycle de vie et de fournir des mises à jour de sécurité.
Le calendrier est déjà engagé : les obligations de signalement des vulnérabilités exploitées activement s'appliquent depuis le 11 septembre 2026, et les obligations principales entreront en application le 11 décembre 2027, avec marquage CE à la clé. Pour les éditeurs et industriels, l'anticipation n'est pas une option : la sécurité devient un critère d'accès au marché européen.
Vers une gouvernance unifiée du risque tiers
NIS 2, DORA et le CRA se recoupent : tous trois exigent de connaître ses dépendances, de les contractualiser et de les surveiller dans la durée. Une démarche robuste tient en cinq mouvements :
- Cartographier les prestataires et les flux critiques.
- Classer les tiers selon leur criticité et les données exposées.
- Durcir les contrats : engagements de sécurité, notification d'incident, droit d'audit, réversibilité.
- Surveiller en continu la posture des fournisseurs clés et les menaces émergentes.
- Tester, exercer et documenter : un plan de continuité ne vaut que s'il est éprouvé.
Les organisations qui traitent ces trois référentiels séparément dupliquent leurs efforts. Celles qui les abordent comme un seul programme de gestion du risque tiers gagnent en cohérence — et transforment une contrainte réglementaire en avantage concurrentiel.
Trois référentiels, une même logique de maîtrise des tiers :
Se préparer, plutôt que subir
NIS 2, DORA et le CRA convergent vers un même message : votre niveau de cybersécurité se mesure désormais à celui de votre écosystème. Les échéances s'enchaînent — signalement CRA dès 2026, obligations principales en 2027, transposition NIS 2 en cours — et les sanctions, administratives comme réputationnelles, ne laissent guère de marge d'improvisation. Mieux vaut anticiper : chaque mois gagné sur la cartographie de vos tiers est un mois de résilience supplémentaire en cas d'incident.
La bonne nouvelle : les compétences se construisent. Oo2 accompagne les dirigeants, RSSI, juristes et acheteurs avec des parcours dédiés NIS 2 et DORA, pour passer de la veille réglementaire à une mise en œuvre concrète et auditable.
FAQ : vos questions sur les référentiels NIS2, DORA et CRA
NIS 2 s'applique-t-il aux PME et ETI ?
Oui, dès lors qu'elles exercent dans l'un des secteurs couverts et dépassent les seuils de taille prévus (généralement 50 salariés ou 10 M€ de chiffre d'affaires). Le statut d'entité importante — moins contraignant que celui d'entité essentielle — concerne de nombreuses PME, sans oublier les sous-traitants de donneurs d'ordre régulés.
Quelle est la différence entre NIS 2 et DORA ?
NIS 2 est une directive sectorielle large, couvrant dix-huit secteurs de l'économie. DORA est un règlement spécifique au secteur financier, plus prescriptif sur la résilience opérationnelle numérique. DORA s'applique directement, sans transposition nationale, et impose un cadre détaillé de gestion des prestataires TIC.
Qu'est-ce qu'un prestataire tiers critique au sens de DORA ?
C'est un fournisseur de services TIC dont la défaillance menacerait la continuité des services financiers à l'échelle européenne. Il est désigné par les autorités européennes de supervision et peut faire l'objet d'une supervision directe, au-delà de la relation contractuelle avec ses clients.
Le CRA concerne-t-il les éditeurs de logiciels ?
Oui. Le CRA vise les produits comportant des éléments numériques, logiciels compris. Les éditeurs doivent gérer les vulnérabilités de leurs produits, publier des mises à jour de sécurité et signaler les vulnérabilités exploitées activement, avec un calendrier échelonné entre 2026 et 2027.
Par où commencer pour gérer les risques cyber tiers ?
Par la visibilité : établir la liste de ses prestataires, identifier les fonctions critiques et les accès sensibles. Vient ensuite la contractualisation — clauses de sécurité, notification d'incident, droit d'audit — puis la surveillance continue et les exercices de crise. Cette démarche sert simultanément NIS 2, DORA et le CRA.
Quelles sanctions en cas de non-conformité ?
Les régimes varient. NIS 2 prévoit des amendes administratives pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, avec une responsabilité renforcée des dirigeants. DORA et le CRA s'appuient sur des sanctions propres à chaque cadre, auxquelles s'ajoutent les conséquences commerciales et réputationnelles d'un incident.