Ce qui distingue les entreprises en croissance de celles en déclin

Écrit par : Marko Gulan

La gestion des entreprises croates se trouve aujourd’hui à un tournant clair. La cybersécurité n’est plus un sujet pour le département informatique, ni une question de bonne volonté. Elle devient une obligation réglementaire, mais plus important encore, une fondation pour la survie et le développement. La directive NIS2, la loi sur la cybersécurité et la certification de sécurité pour les audits changent à jamais les règles du jeu.

La certification de sécurité a apporté ce qui manquait depuis longtemps : la clarté. Depuis sa mise en œuvre, il y a eu un dilemme parmi les sujets de la loi sur la cybersécurité concernant qui effectuera les audits : des individus, des consultants ou des entreprises spécialisées. Il est désormais clair que les audits peuvent être réalisés par des organisations qui disposent d’un nombre suffisant d’individus compétents et qui ont subi un contrôle de compétence rigoureux. Et pas seulement des compétences techniques, mais aussi des compétences en audit.

Un auditeur aujourd’hui doit comprendre l’architecture réseau ainsi que l’évaluation des risques ou la planification de la continuité des affaires tout aussi bien. Cela élève le niveau de sérieux, mais cela crée également un cadre très étroit dans lequel seules quelques entreprises en Croatie seront en mesure de répondre à des critères élevés. Cela envoie un message clair : ce n’est plus un ‘service supplémentaire’, mais un travail réglementé, hautement spécialisé qui nécessite une expertise prouvée.

De plus en plus d’entreprises reconnaissent l’importance de la sécurité

Il est positif qu’aujourd’hui nous puissions parler de résilience. Car la résilience sera le point clé d’une entreprise durable et de la capacité d’une entreprise à répondre aux menaces de demain. Jusqu’à présent, la sécurité dans la plupart des activités a été réduite à la bonne volonté et à des besoins commerciaux occasionnels. Aujourd’hui, elle devient une obligation légale pour un nombre croissant d’entités.

Bien sûr, il y a toujours le danger que certaines entreprises choisissent une approche minimaliste, respectent le minimum légal et créent un faux sentiment de sécurité. Cependant, il est encourageant de voir que de plus en plus d’entreprises considèrent cette obligation comme une opportunité de construire systématiquement la sécurité dans leur activité.

La NIS2 et la loi agissent comme un changeur de mentalité, encourageant la création d’une culture de sécurité et une approche plus sérieuse de la gestion des risques. Et une culture de sécurité est ce qui distingue à long terme les entreprises qui survivent de celles qui construisent la confiance et croissent.

Le plus grand défi, cependant, reste du côté de la direction. Bien que la loi soit claire, dans la pratique, la sécurité est encore trop souvent transférée à l’informatique. C’est une idée fausse dangereuse. Lorsque tout est réduit à un ‘projet informatique’, l’entreprise se retrouve avec des solutions génériques et une conformité superficielle qui respecte la forme mais ne construit pas de résilience.

Les petites et moyennes entreprises sont en outre alourdies par un manque de personnes et de départements qui pourraient prendre des responsabilités. Mais c’est là que réside leur chance : en utilisant des modèles as-a-service et des experts externes, elles peuvent atteindre un niveau de protection et de connaissance qui était auparavant inaccessibles.

Nous manquons d’au moins mille personnes

Il convient également de souligner qu’il existe un troisième défi : le manque de compétences dans la reconnaissance des menaces et des incidents. Si une organisation ne sait pas reconnaître quand elle a été compromise, alors même les meilleurs plans ne valent pas grand-chose. C’est un domaine où les centres de sécurité externes et les services de surveillance spécialisés joueront un rôle clé, car ils permettent aux entreprises de recevoir des signaux en temps réel et de réagir avant que les dommages ne s’aggravent.

Concernant les experts, le problème est complexe. Nous manquons d’au moins mille personnes, peut-être même plus. Pas seulement des ingénieurs mais aussi des experts en sécurité de l’information, des spécialistes de la sécurité industrielle et des compétences en cyber-droit. La Croatie n’a pas seulement un déficit en technologie mais en connaissances interdisciplinaires.

Cependant, cela ne signifie pas que le marché manque de capacité. La plupart des entreprises ne peuvent pas se permettre un expert de haut niveau à temps plein, mais la solution est là : des experts externes, des modèles vCISO, et des entreprises spécialisées qui offrent déjà les services nécessaires à la mise en œuvre de la loi et à la construction de la résilience.

L’inaction peut entraîner des pénalités

Ce qui nous retient vraiment, ce n’est pas le manque d’experts mais le retard dans la prise de décision. Si la direction attend jusqu’à la dernière minute, une congestion se produira et les ressources seront surchargées. Avril 2026 est déjà à la porte, et c’est à ce moment-là que la première échéance pour la mise en œuvre des mesures expire, suivie d’un délai de deux ans pour les audits et les auto-évaluations. Le régulateur ne demandera pas de justifications. Il cherchera des raisons d’inaction qui peuvent également entraîner des pénalités prescrites.

La solution est claire : des décisions doivent être prises maintenant. Le marché a la capacité et l’expertise pour aider, mais le temps n’est pas de notre côté. Les entreprises qui commencent immédiatement auront suffisamment de place pour s’aligner systématiquement, construire la résilience et tirer parti de la sécurité comme un nouvel avantage concurrentiel. Celles qui attendent paieront cher et tard.

C’est ici que les leaders se distinguent de ceux qui sont à la traîne : les leaders reconnaissent le risque à temps, prennent des décisions et passent à l’action. La résilience numérique n’est pas une nouvelle obligation mais une nouvelle monnaie de confiance. Et la confiance est ce sur quoi les marchés futurs seront construits.