Une expertise de terrain pour accompagner les communes face à NIS 2

Avec près de 40 ans de présence auprès des communes luxembourgeoises, AC Automation Center intervient dans l’informatique communale depuis ses premiers pas. L’entrée en vigueur de NIS 2 marque une nouvelle étape : aux enjeux techniques s’ajoutent désormais des dimensions organisationnelles, réglementaires et de gouvernance. Pour y répondre, AC s’associe à NDBSoft afin de proposer aux acteurs publics locaux un accompagnement de bout en bout. Explications avec Philippe Gallina, directeur général d’AC, et Nathalie Souty, CEO de NDBSoft.

Une expertise de longue date

Lorsqu’AC Automation Center a commencé à accompagner les communes luxembourgeoises, l’informatique communale en était encore à ses débuts. « Nous accompagnons les communes quasiment depuis l’arrivée des premiers ordinateurs », rappelle Philippe Gallina. Cette expérience construite au fil des années, au contact des administrations communales, lui permet de mieux appréhender les enjeux et les contraintes du secteur public local. 

Aujourd’hui, AC accompagne près de 70 communes, ainsi qu’une dizaine de syndicats et presque les trois quarts des offices sociaux. « C’est cette connaissance du terrain qui constitue, pour nous, le socle de notre approche actuelle de NIS 2 », poursuit-il. 

En effet, selon le directeur, NIS 2 ne représente pas une rupture, mais plutôt une évolution d’un travail engagé depuis longtemps auprès des communes partenaires. 

Les procédures de sauvegarde, les antivirus, la sécurisation des infrastructures ou encore la continuité de service faisaient déjà partie de leurs services. « Nous n’avons pas attendu que la directive soit transposée en droit luxembourgeois pour faire de la sécurité de nos communes une priorité », souligne Philippe Gallina.

Ainsi, dès mars 2024, et bien avant l’entrée en vigueur de NIS 2 en mai 2026, AC a commencé à préparer ses communes clientes à l’arrivée de la nouvelle réglementation européenne, en travaillant notamment sur les différents points de contrôle identifiés par l’Institut Luxembourgeois de Régulation (ILR). 

Une expertise technique qui s’élargit

Si cette anticipation est aujourd’hui primordiale, c’est aussi parce que NIS 2 dépasse largement le seul périmètre informatique. « La réglementation concerne les infrastructures et leur sécurité, mais aussi les responsabilités, les procédures, la documentation, la gestion des prestataires, la sensibilisation des collaborateurs ou encore la réaction en cas d’incident », explique Nathalie Souty, CEO de NDBSoft.  C’est sur cette complémentarité qu’AC et NDBSoft ont choisi de construire leur association. Le premier apporte son expérience technique et sa connaissance historique des infrastructures communales. Quant au second, il vient renforcer les dimensions organisationnelles, réglementaires et de gouvernance. « Notre force, c’est vraiment de réunir ces deux dimensions, techniques et réglementaires, dans une seule et même démarche. L’objectif n’est donc pas de laisser une commune seule face à un diagnostic ou à une liste d’exigences. Bien au contraire, l’état des lieux constitue le point de départ d’un accompagnement appelé à se poursuivre dans le temps. Il s’agit alors d’identifier ce qui existe déjà, ce qui est maîtrisé, les principaux risques et les écarts, puis de définir une trajectoire réaliste », déclare-t-elle. Qui plus est, toutes les communes ne partent pas du même niveau. Certaines disposent déjà d’un service informatique structuré, de procédures et de dispositifs de sécurité avancés. D’autres doivent encore consolider les fondamentaux. L’enjeu est donc de ne pas appliquer une réponse standardisée, mais de partir de la situation réelle de chaque administration pour offrir une solution personnalisée.

Simplifier la complexité

Pour les responsables communaux, la cybersécurité peut, à juste titre, sembler difficile à appréhender. NIS 2 leur confie pourtant directement des responsabilités en matière de sécurité. « L’idée n’est absolument pas de devenir un expert en cybersécurité ou un spécialiste de NIS 2. Il s’agit plutôt de leur donner une vision claire : où en est la commune, quels sont ses risques, qui contacter, quelles actions sont prioritaires et dans quels délais elles doivent être mises en œuvre. Nous leur permettons d’assumer ce rôle », précise Nathalie Souty. La même logique s’applique aux collaborateurs. 

« La sensibilisation ne passe pas par une accumulation de règles techniques, mais par des situations et des réflexes simples : qu’est-ce qui doit m’alerter ? Que dois-je vérifier ? Et surtout, que dois-je faire maintenant ? La cybersécurité, ce n’est pas une contrainte, c’est surtout connaître les bons réflexes », résume-t-elle. 

Une proximité qui ne se limite pas aux conseils

Depuis ses débuts, AC revendique une approche très simple : « Notre slogan : « On s’occupe de tout ! » explique notre approche », souligne Philippe Gallina. Cette philosophie prend tout son sens lorsqu’un service communal cesse de fonctionner : une connexion indisponible, un accès à GESCOM du SIGI interrompu ou un équipement défaillant peuvent rapidement perturber le fonctionnement quotidien d’une administration et de ses services critiques. « Nous nous positionnons comme interlocuteur de proximité, capable de diagnostiquer la situation à distance et, si nécessaire, d’intervenir directement sur le terrain ». 

Cette proximité constitue aussi un élément important recherché par NIS 2 : la résilience. « Le risque zéro n’existe pas, mais nous devons faire en sorte qu’un incident ait le moins d’impact possible sur les services rendus aux citoyens », déclare Philippe Gallina. Au-delà de la réglementation, c’est finalement une vision de la commune moderne qui se dessine pour garantir la continuité de ces services face aux risques numériques. Cette vision explique la volonté d’AC de poursuivre son accompagnement auprès d’un secteur qu’elle connaît depuis près de quatre décennies. « Nous avons un profond respect des communes et des personnes qui y travaillent », souligne-t-il, en rappelant les nombreux projets portés par les administrations et leur capacité à se projeter dans le long terme.

Une démarche inscrite dans la durée

La mise en conformité ne se fera donc pas du jour au lendemain. L’approche proposée par AC et NDBSoft s’inscrit sur 36 mois en suivant une logique d’amélioration continue, de priorisation et de progression. 

Le principe est clair : identifier les éventuels points critiques, déterminer les actions nécessaires, les planifier et avancer étape par étape. « Une commune qui n’a pas prévu un investissement dans son budget immédiat peut ainsi déjà identifier le besoin, le documenter et préparer son évolution budgétaire, tout en restant abordable. Nous tenons compte de la réalité des administrations communales et de leurs ressources. Grâce à notre expérience, nous savons comment fonctionnent les communes », rappelle Philippe Gallina, qui insiste sur une philosophie d’accompagnement « en bon père de famille », fondée sur la proximité et la flexibilité. 

« Avec AC, la commune a un seul contrat et un seul interlocuteur, pour la technique comme pour la conformité », explique Philippe Gallina. « Nous sommes nous-mêmes soumis à NIS 2 en tant que prestataire de services managés : nous appliquons à notre organisation ce que nous aidons nos communes à mettre en place. »