Conformité réglementaire on Plan R

Auditer la résilience de ses tiers sans rupture

Wed, 23 Sep 2026 00:00:00 +0200

On ne contrôle pas la solidité de ses partenaires. On contrôle ce qu’on exige d’eux, ce qu’on vérifie à leurs interfaces, et la façon dont on se prépare à leur chute.

La chronique 008 de cette saison s’arrêtait aux lignes de code : bibliothèques open source, mises à jour empoisonnées, nomenclatures logicielles. Il laissait volontairement de côté une question plus large. Le logiciel n’est qu’un maillon. Derrière lui, il y a des hébergeurs, des intégrateurs, des infogérants, des prestataires de paie, des transporteurs, des centres d’appels.

Responsabilité du dirigeant, ce que le nouveau cadre change vraiment

Wed, 09 Sep 2026 00:00:00 +0200

La question n’est plus de savoir si la cybersécurité relève du COMEX. Elle est de savoir qui, nommément, répondra d’une défaillance — et avec quelles preuves.

L’épisode 004 posait que la résilience est une décision politique : des arbitrages, des dépendances assumées, une gouvernance explicite. L’épisode 035 s’est arrêté sur la parole en crise, et s’est terminé sur une question laissée ouverte : quand tout est retombé, qui répond de ce qui a été dit, et de ce qui ne l’a pas été ?

Communication de crise, ce que 2026 nous a appris

Wed, 02 Sep 2026 00:00:00 +0200

En 2026, la question n’est plus de savoir quoi dire pendant une rupture de service. C’est de savoir si votre parole arrivera la première — et si elle sera reconnue comme la vôtre.

En 2025, cette chronique avait posé les fondamentaux de la communication de crise : parler vite, même pour dire qu’on enquête. Un canal officiel unique. Un porte-parole désigné. Une vérité partielle, assumée, plutôt qu’un silence prudent.

Rien de ce qui suit n’invalide ces principes. Ils tiennent. Ils ont même été confirmés par une année dense en ruptures.

Préparation à l'audit NIS2 - preuves, documentation, posture

Wed, 19 Aug 2026 00:00:00 +0200

Un contrôle réglementaire ne se prépare pas la veille. Il se documente en continu.

Le trimestre qui s’achève nous a emmenés loin dans la machine. SOC de nouvelle génération, détection industrialisée, IA offensive, algorithmes de décision, équilibre humain-machine : le T3 a exploré ce que l’intelligence apporte - et ce qu’elle coûte - à la résilience.

Le T4 change de registre. On quitte les outils pour la gouvernance, la redevabilité et la culture. Et il commence par le sujet le plus concret qui soit : l’épreuve du contrôle.

Continuous Compliance - la conformité comme code vivant

Wed, 22 Jul 2026 00:00:00 +0200

La conformité cesse d’être une photographie datée pour devenir un flux permanent. Un progrès réel - à condition de ne jamais confondre le vert d’un tableau de bord avec la solidité du réel.

En 2014, obtenir l’homologation de sécurité d’un système, c’était décrocher un tampon valable trois ans. Une photographie. On vérifiait, on signait, on rangeait le dossier. Entre deux contrôles, le système vivait sa vie - et dérivait.

Ce modèle a longtemps tenu. Il ne tient plus. Les infrastructures changent chaque jour, parfois chaque heure. Un déploiement, une dépendance mise à jour, une règle de pare-feu modifiée : la conformité d’hier n’est déjà plus celle d’aujourd’hui.

DORA & NIS2, deux cadres, un enjeu de résilience

Wed, 13 May 2026 00:00:00 +0200

Aligner les processus de résilience entre les exigences du règlement financier et celles de la directive sectorielle, sans confondre la conformité avec sa destination.

Introduction — Le temps du cadrage

L’épisode précédent racontait une journée de crise vue du terrain. Aujourd’hui, retour au cadrage. Parce que cette journée-là, dans une organisation européenne en 2026, ne se déroule jamais sans deux ombres tutélaires en arrière-plan : DORA et NIS2.

Deux acronymes désormais inévitables. Deux textes cités dans presque toutes les chroniques précédentes, sans qu’on ait pris le temps de les regarder ensemble. Le moment est venu.

Bilan T1 — L'état de nos fondations

Thu, 02 Apr 2026 00:00:00 +0200

Neuf semaines de construction. Le socle est-il assez solide pour supporter ce qui vient ?

En janvier, Plan R a ouvert son année 2026 par une question simple : peut-on passer d’une posture réactive à une résilience native ? Neuf épisodes plus tard, le moment est venu de regarder en arrière - non pas pour se féliciter, mais pour mesurer.

Ce trimestre a couvert un terrain considérable. Nous avons parlé de conception sécurisée et de Shift Left (005). De ces systèmes Legacy que personne ne veut toucher mais que tout le monde craint (006). De la fin de la confiance visuelle face aux deepfakes (007). De la supply chain numérique, où un maillon faible chez un tiers peut déclencher une crise majeure (008). De la convergence IT/OT/IoT et de ses angles morts (009). Des tests grandeur nature qui révèlent plus que n’importe quel audit (010). Du Cyber Resilience Act et de la responsabilité désormais gravée dans le marbre réglementaire (011). Et du facteur humain - fatigue, compétences, culture - sans lequel tout le reste est cosmétique (012).

Cyber Resilience Act, ce qui change vraiment

Wed, 18 Mar 2026 00:00:00 +0100

Décryptage opérationnel du CRA: obligations, calendrier, impact sur les achats et la relation fournisseurs. La réglementation n’est pas une contrainte de plus. C’est un levier.

Trois épisodes en arrière, nous mettions les mains dans le concret. La supply chain logicielle (008), les usages non maîtrisés de l’IA (009), l’OT et l’IoT (010): autant de zones où la fragilité numérique prend racine, souvent en silence. À chaque fois, un constat revenait: l’absence de transparence du fournisseur, le manque de visibilité sur les composants, l’illusion d’une sécurité fondée sur la confiance plutôt que sur la preuve.

IoT et OT, la surface d'attaque invisible

Wed, 11 Mar 2026 00:00:00 +0100

Objets connectés, automates, capteurs : la surface d’attaque qui explose en silence aux frontières de l’IT et de l’OT.

Dans la chronique 006, nous avons ouvert la boîte noire du legacy : ces systèmes trop vieux pour être patchés, trop critiques pour être éteints. Nous avons posé la matrice Kill, Refactor, Fortress pour reprendre le contrôle de l’héritage toxique. Mais il existe une catégorie d’actifs encore plus redoutable que le vieux serveur oublié dans la salle machines.

Du SBOM contractuel au SBOM vivant

Wed, 25 Feb 2026 00:00:00 +0100

Du SBOM contractuel au SBOM vivant : quand la liste devient un radar

La supply chain logicielle est la dépendance invisible par excellence. La plupart des organisations ont un SBOM. Presque aucune ne s’en sert.

Introduction

Fin 2021, une vulnérabilité critique est découverte dans Log4j, une bibliothèque Java utilisée par des millions d’applications. Dans les heures qui suivent, une question simple paralyse des milliers d’équipes : « est-ce qu’on utilise ce composant, et où ?» La plupart n’ont pas la réponse. Pas parce qu’elles sont incompétentes. Parce qu’elles n’ont pas d’inventaire vivant de ce qui tourne dans leurs systèmes.

De la Salle de Crise à la Planche à Dessin

Wed, 04 Feb 2026 00:00:00 +0100

Pourquoi la résilience 2026 se joue avant l’incident.

Si les chroniques précédentes nous ont permis d’explorer les mécanismes de la gestion de crise et de la réaction face à l’incident, il est essentiel d’élargir le spectre. Une organisation résiliente n’est pas seulement celle qui se relève vite, c’est celle qui a été conçue pour encaisser les chocs.

Tout le monde est vulnérable. La vraie différence, c'est la résilience

Wed, 07 Jan 2026 00:00:00 +0100

2025 : L’année où tout le monde s’est fait taper (et où il a fallu arrêter de faire semblant)

Chaque fin d’année apporte son lot de bilans.

En cybersécurité, le rituel est bien connu :

la liste des victimes, les classements, les graphiques, les posts LinkedIn alarmistes — parfois sincères, souvent opportunistes.

Résilience 2030+ : bilan, cap stratégique et feuille de route

Wed, 31 Dec 2025 00:00:00 +0100

Clôture du cycle : où en est l’organisation, quel cap pour les années à venir, et quel plan d’attaque pour le prochain cycle résilience ?

1. Six ans de transformation : de l’improvisation à la structuration

Entre 2019 et 2025, la résilience est passée du statut de parent pauvre à celui de sujet stratégique. Mais ce basculement n’a pas été spontané. Il a souvent été douloureux, chaotique, précipité par des crises successives : pandémie mondiale, conflits géopolitiques, cyberattaques majeures, rupture d’approvisionnement, hausse des exigences réglementaires.

Résilience & ruptures à venir : IA, quantique, régulations

Wed, 03 Dec 2025 00:00:00 +0100

L’essor de l’IA, du quantique, le Cyber Resilience Act, la guerre numérique globale… anticiper ce que va bouleverser la résilience demain.

Introduction : un futur déjà entamé

Longtemps cantonnée aux exercices de style ou aux plans de continuité poussiéreux, la résilience numérique vit une transformation radicale. Elle n’est plus une affaire de prévision, mais d’adaptation permanente à des ruptures systémiques. L’avenir n’est plus un concept flou. Il frappe déjà aux portes à travers les IA génératives, les régulations massives comme le CRA, l’IA Act ou NIS 2, les tensions géopolitiques, ou les menaces quantiques.

OT et IoT : Défis de la résilience entre industrie et objets connectés

Tue, 19 Aug 2025 00:00:00 +0200

**Entre promesses de connectivité et risques bien réels, l’OT et l’IoT rappellent que la résilience du numérique se joue aussi dans le monde physique. **

Introduction

La cybersécurité des systèmes d’information a longtemps été pensée pour les environnements bureautiques et applicatifs classiques. Mais une autre réalité s’impose désormais : celle des systèmes industriels (OT — Operational Technology) et de l’Internet des objets (IoT). Automates, capteurs, objets connectés, infrastructures critiques, systèmes SCADA… tout un monde où la résilience ne peut pas être copiée-collée des pratiques IT.

DORA, NIS2, ISO 27001 : Transformer la conformité en résilience opérationnelle

Wed, 28 May 2025 00:00:00 +0200

Réglementation et résilience, mode d’emploi

Introduction : conformité ≠ résilience

Face à la pression croissante des cybermenaces et aux exigences des régulateurs, les organisations jonglent entre réglementation, gouvernance et opérationnel. DORA, NIS2, ISO 27001… ces textes sont censés les aider à structurer leur sécurité. Pourtant, combien d’organisations cochent toutes les cases sans être capables de résister à une crise ?

Petit lexique de la cyberrésilience : Comprendre les termes clés

Wed, 12 Mar 2025 00:00:00 +0100

Mise à jour — septembre 2026. Ce petit lexique reste en ligne tel qu’il a été publié en mars 2025. Il a depuis été repris et largement réécrit dans Ce que les mots engagent — lexique de la résilience opérationnelle. Là où les deux textes diffèrent, par exemple sur la frontière entre incident et crise ou sur l’équivalence entre RTO et DMIA, c’est le lexique de 2026 qui exprime la position de Plan R.