Deux réglementations européennes redessinent la demande en compétences IT en Europe. Comprendre leur logique aide à anticiper les besoins des trois prochaines années.

NIS2 : la sécurité devient une obligation pour des milliers d'entités

La directive NIS2 élargit considérablement le périmètre de la première directive NIS. Là où le texte initial visait quelques centaines d'opérateurs essentiels par pays, NIS2 couvre des secteurs entiers — énergie, transport, santé, eau, infrastructures numériques, administration publique, mais aussi agroalimentaire, fabrication, gestion des déchets, services postaux — dès lors que l'entité dépasse certains seuils de taille.

Les obligations principales :

  • analyse de risque et politique de sécurité des systèmes d'information ;
  • gestion des incidents, avec une notification en plusieurs temps à l'autorité nationale ;
  • continuité d'activité : sauvegarde, reprise, gestion de crise ;
  • sécurité de la chaîne d'approvisionnement — point majeur : vous répondez aussi du niveau de vos fournisseurs ;
  • authentification forte, chiffrement, hygiène et formation ;
  • responsabilité de la direction, avec des sanctions qui peuvent la viser personnellement.

DORA : la résilience opérationnelle du secteur financier

Le règlement DORA vise banques, assurances, sociétés de gestion, prestataires de paiement — et, indirectement, leurs fournisseurs informatiques critiques. Il impose un cadre complet : gouvernance du risque informatique, registre des prestataires critiques, tests de résilience — y compris des tests d'intrusion avancés pour les entités les plus importantes — et clauses contractuelles obligatoires avec les prestataires.

Pour un prestataire IT travaillant avec le secteur financier, la conséquence est directe : les exigences contractuelles de vos clients se durcissent, notamment sur l'auditabilité, la réversibilité et la notification d'incident.

Ce que cela crée comme besoins

Profils GRC — analyse de risque, mise en conformité, rédaction de politiques, préparation aux audits. La demande dépasse largement l'offre disponible.

Profils hybrides technique/conformité — capables de traduire une exigence réglementaire en mesure technique concrète. Ce sont les profils les plus recherchés et les mieux valorisés.

Sécurité de la chaîne d'approvisionnement — évaluation des fournisseurs, questionnaires, clauses contractuelles, suivi dans la durée.

Gestion de crise et continuité — plans, exercices, tests de restauration réellement effectués.

Auditabilité et traçabilité — journalisation, preuve, capacité à démontrer la conformité, pas seulement à l'affirmer.

Comment se positionner

Pour un consultant technique, la voie la plus rapide consiste à ajouter la dimension conformité à une expertise existante plutôt qu'à devenir un pur profil GRC. Un ingénieur cloud qui sait cartographier ses mesures techniques sur les exigences NIS2, ou un architecte capable de rédiger la section résilience d'un contrat DORA, apporte une valeur immédiate.

Côté formation, ISO 27001 (lead implementer ou lead auditor) reste la porte d'entrée la plus reconnue, complétée par la lecture directe des textes et des guides publiés par les autorités nationales.

Le point à ne pas manquer

Ces réglementations ne concernent pas uniquement les grands comptes. Par l'effet chaîne d'approvisionnement, toute PME fournisseur d'une entité régulée se voit transmettre des exigences. Pour les prestataires IT, c'est à la fois une contrainte commerciale et une opportunité de mission durable.