Là où la posture se perd
Le registre des dérogations est d’ordinaire le document le moins gouverné d’un programme de sécurité, et le premier qu’un auditeur ou un régulateur demande après un incident. Une dérogation accordée par courriel, sans échéance, est un trou permanent dont personne ne se souvient avoir convenu. Dispositifs médicaux non patchables, automates industriels anciens, fournisseur qui ne peut tenir une clause contractuelle : chacun est légitime comme décision bornée dans le temps, et dangereux comme décision oubliée.
Le cycle de vie qui la rend défendable
Une dérogation gouvernée passe par la demande, l’évaluation du risque, l’approbation par l’autorité que le risque résiduel exige (un responsable d’équipe pour un risque faible, le RSSI pour un risque moyen, le comité des risques pour un risque élevé), la période active avec contrôles compensatoires vérifiés, puis l’échéance avec une redécision forcée : clore, prolonger avec une nouvelle date, ou escalader. Chaque étape est datée et attribuable, et le registre peut répondre « qui a accepté cela, quand, et sur quelle base » pour n’importe quel élément.
Dans les réglementations
Ni NIS2 ni DORA n’emploient le mot dérogation, mais les deux exigent que les mesures de gestion des risques soient approuvées par la direction et évaluées dans leur efficacité, et DORA attend explicitement une acceptation documentée du risque TIC résiduel. Une dérogation est précisément cette acceptation, et un registre qui montre l’échelle de décision et les échéances transforme un écart à la politique en risque gouverné plutôt qu’en constat.