Résilience numérique : comprendre la réponse européenne
Article 3 — Renforcer la résilience numérique
Résilience numérique : comprendre la réponse européenne
Dans les deux premiers articles, nous avons vu comment la France et l’Union européenne construisent un cadre de confiance pour le cloud, puis comment les dépendances économiques, technologiques, opérationnelles et juridiques limitent leur autonomie numérique.
Mais réduire les dépendances ne suffit pas à garantir la continuité des activités. Une organisation reste exposée à une cyberattaque, à une panne ou à la défaillance d’un prestataire. Une nouvelle question se pose alors : comment continuer à fonctionner lorsqu’un incident survient malgré les protections mises en place ?
La sécurité vise à prévenir et à contenir les incidents. La souveraineté préserve la capacité de choisir et de maîtriser ses dépendances. La résilience permet de maintenir les services essentiels, puis de rétablir un fonctionnement normal.
C’est dans cette logique que l’Union européenne a adopté NIS2 et DORA.
De la protection à la résilience
La cybersécurité vise à réduire la probabilité d’un incident et à en limiter les effets.
Une organisation doit donc être capable de détecter un incident, de le contenir, de maintenir ses activités essentielles, de restaurer ses services et de tirer les enseignements de la crise.
Prévenir → Détecter → Contenir → Continuer → Rétablir → Apprendre
La résilience part donc d’un principe simple : aucun système ne peut être considéré comme infaillible.
Un incident n’est pas toujours une cyberattaque
En juillet 2024, une mise à jour défectueuse du logiciel de sécurité CrowdStrike a bloqué simultanément de nombreux systèmes Windows. Sans être une cyberattaque, cet incident a provoqué des perturbations mondiales dans les transports, les hôpitaux, les banques et les services publics.
Cet événement illustre une caractéristique centrale des systèmes numériques modernes : la dépendance à un fournisseur commun peut transformer une défaillance locale en perturbation mondiale.
La résilience doit donc couvrir aussi bien les cyberattaques que les pannes logicielles, l’indisponibilité d’un service cloud ou la défaillance d’un prestataire critique.
NIS2 : faire de la cybersécurité un sujet de gouvernance
NIS2 vise à relever le niveau de cybersécurité des organisations essentielles au fonctionnement de la société. Elle concerne de nombreux secteurs, notamment l’énergie, la santé, les transports, les administrations et les infrastructures numériques.
Son principal changement n’est toutefois pas seulement technique. Les organisations concernées doivent mieux connaître leurs services critiques, préparer la gestion des incidents, maîtriser les risques liés à leurs fournisseurs et organiser la continuité de leurs activités.
Les dirigeants doivent approuver cette démarche et en superviser la mise en œuvre. La cybersécurité ne relève donc plus uniquement des équipes informatiques : elle devient un sujet de gouvernance et de gestion des risques. La directive prévoit également un signalement progressif des incidents significatifs auprès des autorités.
En France — juillet 2026
La transposition de NIS2 reste en cours. L’ANSSI invite néanmoins les futures entités concernées à préparer leur mise en conformité à l’aide du Référentiel Cyber France, encore diffusé comme document de travail.
DORA : assurer la continuité du secteur financier
DORA applique une logique plus exigeante au secteur financier. Depuis le 17 janvier 2025, les banques, assurances, établissements de paiement et autres entités concernées ne doivent plus seulement protéger leurs systèmes ; elles doivent démontrer leur capacité à poursuivre leurs activités malgré une cyberattaque, une panne ou la défaillance d’un fournisseur technologique.
Concrètement, elles doivent tester régulièrement leur résilience, déclarer les incidents majeurs, mieux encadrer leurs prestataires et préparer des solutions de sortie lorsque ceux-ci soutiennent des fonctions critiques.
DORA traite également le risque de concentration : lorsqu’un grand nombre d’acteurs financiers dépendent du même fournisseur, une défaillance isolée peut perturber l’ensemble du secteur. Certains prestataires technologiques critiques font désormais l’objet d’une surveillance européenne ; les premières désignations ont été publiées en novembre 2025.
NIS2 et DORA : deux cadres complémentaires
| Question | NIS2 | DORA |
|---|---|---|
| À qui s’adresse le texte ? | Aux entités essentielles et importantes de nombreux secteurs | Aux entités du secteur financier |
| Quelle est la question centrale ? | L’organisation est-elle préparée à prévenir et gérer un incident cyber ? | Peut-elle continuer à fournir ses services malgré un incident numérique ? |
| Qu’est-ce qui change ? | Gouvernance, gestion des risques, incidents, continuité et chaîne d’approvisionnement | Tests de résilience, gestion des incidents, contrats fournisseurs, concentration et stratégies de sortie |
| Quel rôle pour les dirigeants ? | Approuver et superviser la gestion des risques cyber | Piloter la résilience opérationnelle numérique |
| Quelle est sa nature ? | Directive à transposer dans le droit national | Règlement directement applicable |
| Quel est son statut ? | Transposition française encore en cours en juillet 2026 | Applicable depuis le 17 janvier 2025 |
Une réponse qui dépasse les frontières nationales
NIS2 ne renforce pas seulement les obligations des organisations. Elle améliore aussi la coopération entre les autorités nationales chargées de répondre aux incidents.
Les équipes nationales de réponse aux incidents de sécurité informatique, ou CSIRT, échangent des informations et coordonnent leurs actions au sein d’un réseau européen. Lors des crises de grande ampleur, EU-CyCLONe soutient la coordination entre les États membres et les institutions européennes.
DORA applique une logique comparable au secteur financier en harmonisant les exigences et en organisant la surveillance européenne de certains fournisseurs technologiques critiques.
La réponse européenne repose donc sur deux niveaux : renforcer chaque organisation et mieux coordonner les réactions lorsqu’une crise dépasse les frontières nationales.
De la conformité à la continuité réelle
Une organisation peut sécuriser ses propres systèmes tout en restant exposée à une vulnérabilité chez un éditeur, à une interruption d’un service cloud ou à une erreur commise par un sous-traitant.
NIS2 et DORA imposent donc de mieux connaître les services critiques et les fournisseurs dont ils dépendent. DORA va particulièrement loin : les entités financières doivent inventorier leurs contrats, identifier les prestataires soutenant des fonctions critiques, analyser les risques de concentration et préparer les conditions d’un éventuel changement de fournisseur.
Une activité peut être externalisée, la responsabilité du risque ne l’est pas.
Quatre actions deviennent prioritaires :
- identifier les activités critiques et leurs dépendances ;
- attribuer clairement les responsabilités ;
- organiser et tester la gestion des incidents ;
- encadrer les fournisseurs et préparer les stratégies de sortie.
La conformité ne se mesure pas au nombre de documents produits, mais à la capacité réelle de l’organisation à maintenir ses activités pendant une crise.
Un socle commun, mais pas une réponse à toutes les dépendances
NIS2 et DORA constituent une étape majeure dans la construction d’une résilience numérique européenne.
Ils ne créent toutefois pas de fournisseurs cloud européens, ne suppriment pas le verrouillage technologique et ne mettent pas fin à la concentration du marché.
Ils répondent à une autre question :
Comment mieux gouverner les dépendances et continuer à fonctionner lorsqu’un incident survient ?
La souveraineté et la résilience sont donc complémentaires.
La première consiste à préserver la capacité de choisir ses technologies et ses fournisseurs. La seconde consiste à éviter qu’une attaque, une panne ou la défaillance d’un partenaire interrompt durablement les services essentiels.
Définir les règles, maîtriser les dépendances et organiser la continuité : ces trois dimensions forment le socle d’une souveraineté numérique crédible.
Cette réflexion devra désormais s’étendre aux dépendances liées à l’intelligence artificielle.
