Pourquoi un dossier de conformité figé est obsolète le jour de sa livraison — notre approche du dossier vivant

Voici une scène que nous avons vécue des dizaines de fois. Un client nous tend fièrement son dossier de sécurité : un beau classeur, réalisé par un cabinet sérieux, avec l’inventaire, les schémas réseau, les procédures. Nous branchons la box SKube sur son réseau. Deux heures plus tard, la carte affiche 23 équipements de plus que le classeur — dont un NAS oublié, deux caméras IP installées par un prestataire, et un serveur de test exposé sur Internet.

Le classeur n’était pas mal fait. Il était daté. Comme tous les classeurs.

La conformité documentaire a un défaut de conception

Un système d’information vit : des machines arrivent, des services se déploient, des prestataires installent, des collaborateurs bricolent. Le rythme moyen que nous constatons en PME : plusieurs changements significatifs par semaine. Un dossier de conformité rédigé en janvier décrit une entreprise qui n’existe plus en juin.

Ce n’est pas qu’un problème d’exactitude — c’est un problème de fond réglementaire. NIS2 attend une gestion des risques continue : l’article 21 parle de politiques appliquées, de mesures maintenues, d’efficacité évaluée. Un contrôleur qui constate un écart flagrant entre votre dossier et votre réseau réel n’y verra pas un détail : il y verra la preuve que votre gestion des risques est déclarative.

Notre réponse : le dossier vivant

Nous avons construit notre démarche sur un principe simple : le dossier de conformité doit être branché sur la réalité. Concrètement :

• Le dossier n’est pas un document mais un système — inventaire, dépendances, questionnaires, plan d’action vivent dans une plateforme, et les documents (dossier NIS2, PCA, PRA) en sont générés à la demande, versionnés et horodatés.
• La box SKube observe le réseau en permanence — passivement, sans le perturber — et confronte ce qu’elle voit à ce que le dossier déclare. Équipement inconnu, machine disparue, nouveau flux : l’écart est signalé, l’inventaire se met à jour.
• Les dépendances entre systèmes ne sont pas dessinées de mémoire en salle de réunion : elles sont constatées à partir des communications réelles, puis qualifiées par vos équipes.

Le résultat tient en une phrase que nous aimons bien : votre dossier NIS2 a la date d’aujourd’hui, tous les jours.

Ce que cela change en pratique

Pour un contrôle : vous n’avez rien à préparer, le dossier est déjà vrai. Pour un incident : vous savez immédiatement quels services dépendent de la machine compromise — au lieu de le découvrir pendant la crise. Pour votre budget : le maintien en conformité devient un flux léger et continu, au lieu d’un chantier de remise à niveau tous les deux ans, toujours plus coûteux que prévu.

La conformité documentaire a eu son époque. NIS2, par son exigence de continuité, la clôt. Nous pensons que tous les dossiers de conformité seront vivants dans dix ans — nous avons simplement décidé de ne pas attendre.