La responsabilité des dirigeants selon NIS2 est personnelle, voici comment gérer votre redevabilité avant l'entrée en vigueur des sanctions

Points clés — Responsabilité personnelle des dirigeants et redevabilité de la direction selon NIS2

La directive NIS2 (directive (UE) 2022/2555) introduit une responsabilité personnelle pour les organes de direction qui omettent d'approuver, de superviser et de documenter les mesures de gestion des risques de cybersécurité. Les articles 20 et 21 imposent une gouvernance formelle au niveau du conseil, une formation obligatoire, une surveillance de la chaîne d'approvisionnement et une cohérence entre entités. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles. Les organisations ont besoin de pistes de preuves auditables — résolutions documentées, politiques sous contrôle de version et recertification récurrente — pour démontrer leur diligence lors des examens de surveillance.

Définitions

Qu'est-ce que NIS2 ?

NIS2 (directive (UE) 2022/2555) est la version actualisée de la directive de l'Union européenne sur la sécurité des réseaux et de l'information, qui remplace la directive NIS d'origine (2016/1148). Elle élargit le champ des entités couvertes, renforce les obligations de gestion des risques de cybersécurité et introduit une responsabilité personnelle directe pour les organes de direction. Texte intégral — EUR-Lex

Qu'est-ce que la responsabilité des dirigeants au titre de NIS2 ?

La responsabilité des dirigeants au titre de NIS2 désigne la redevabilité personnelle des personnes physiques occupant des fonctions de direction en cas de défaillance de la gouvernance cybersécurité. L'article 20(1) dispose que les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité et en superviser la mise en œuvre. Les États membres peuvent imposer des sanctions — y compris des interdictions temporaires d'exercer des fonctions dirigeantes — aux personnes qui manquent à ces obligations. Directive NIS2, article 20 — EUR-Lex

Qu'est-ce qu'un organe de direction au titre de NIS2 ?

Un organe de direction est défini à l'article 32(6) comme les personnes physiques responsables de l'entité au plus haut niveau de direction, y compris les comités exécutifs, les directeurs généraux et les structures de gouvernance équivalentes selon le droit national des sociétés.

Qu'est-ce qu'une AIPD ?

Une analyse d'impact relative à la protection des données (AIPD) est une évaluation structurée des risques exigée par l'article 35 du RGPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Bien que l'AIPD soit un concept du RGPD, les entités couvertes par NIS2 mènent souvent des évaluations parallèles des risques de cybersécurité qui recoupent les exigences de l'AIPD. Article 35 du RGPD — gdpr-info.eu

Foire aux questions

Qu'est-ce que la responsabilité personnelle des dirigeants selon NIS2 ?

En vertu de la directive NIS2 (directive (UE) 2022/2555), les organes de direction des entités essentielles et importantes peuvent voir leur responsabilité personnelle engagée en cas de défaillance de la gouvernance cybersécurité. L'article 20 impose à la direction d'approuver les mesures de gestion des risques de cybersécurité et d'en superviser la mise en œuvre. Selon l'ENISA, « la directive NIS2 relève considérablement le niveau d'exigence en matière de redevabilité de la direction pour la cybersécurité ». Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Directive NIS2 — EUR-Lex

Quels articles de NIS2 définissent les obligations de redevabilité de la direction ?

Les articles 20 et 21 de la directive NIS2 définissent les obligations des organes de direction. L'article 20(1) exige l'approbation formelle des mesures de cybersécurité. L'article 20(2) impose une formation en cybersécurité aux membres de la direction. L'article 21 précise les mesures techniques et organisationnelles à mettre en œuvre, y compris la sécurité de la chaîne d'approvisionnement au titre de l'article 21(2)(d). L'article 23 ajoute des délais de notification des incidents — alerte précoce dans les 24 heures et notification complète dans les 72 heures. Directive NIS2, articles 20 à 23 — EUR-Lex

Quelles sont les sanctions en cas de non-conformité des dirigeants à NIS2 ?

Pour les entités essentielles, les amendes administratives peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 34(4)). Pour les entités importantes, les amendes peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires (article 34(5)). Les États membres peuvent également engager la responsabilité personnelle des personnes physiques occupant des fonctions de direction, y compris des interdictions temporaires d'exercer des fonctions dirigeantes (article 32(5)). Directive NIS2, articles 32 & 34 — EUR-Lex

Comment le signalement des incidents NIS2 influe-t-il sur la responsabilité des dirigeants ?

L'article 23 de la directive NIS2 impose une alerte précoce dans les 24 heures et une notification complète de l'incident dans les 72 heures suivant la prise de connaissance d'un incident important. Les organes de direction doivent disposer de filières d'escalade documentées et de registres des décisions de gouvernance. Selon les orientations de l'ENISA sur NIS2, le non-respect de ces délais accroît l'exposition à la responsabilité personnelle des membres de la direction. ENISA — page thématique sur la directive NIS

NIS2 impose-t-il une formation en cybersécurité aux membres du conseil ?

Oui. L'article 20(2) de la directive NIS2 impose explicitement aux membres des organes de direction de suivre une formation suffisante pour identifier les risques et évaluer les pratiques de gestion des risques de cybersécurité. La formation doit être documentée, adaptée au rôle et renouvelée régulièrement. Une session de formation ponctuelle ne satisfait pas à l'obligation continue — les régulateurs attendent la preuve de programmes de mise à niveau périodiques.

Comment les organisations peuvent-elles démontrer la redevabilité de leur direction au titre de NIS2 ?

Les organisations doivent conserver : (1) des résolutions du conseil documentées approuvant les mesures de cybersécurité, (2) des politiques sous contrôle de version avec pistes d'audit, (3) des cycles de revue de surveillance récurrents avec rapports d'avancement, (4) des registres de formation pour tous les membres des organes de direction, (5) des procédures d'escalade des incidents avec journaux de décisions et (6) des évaluations des risques de la chaîne d'approvisionnement avec visibilité au niveau du conseil. Une plateforme GRC centralisée peut automatiser la collecte de preuves et la recertification au sein de multiples entités et juridictions.

Comment NIS2 s'articule-t-il avec les obligations du RGPD ?

NIS2 et le RGPD imposent des obligations qui se recoupent tout en restant distinctes. Le RGPD se concentre sur la protection des données à caractère personnel, tandis que NIS2 traite plus largement de la sécurité des réseaux et de l'information. L'article 35 de NIS2 aborde explicitement cette articulation, en exigeant une coopération entre les autorités de surveillance et les autorités de protection des données. Les organisations soumises aux deux régimes doivent s'assurer que leurs cadres de gouvernance traitent de manière coordonnée la gestion des risques de cybersécurité (NIS2) et les analyses d'impact relatives à la protection des données (RGPD). Texte intégral du RGPD — gdpr-info.eu

Quelles entités sont classées comme essentielles ou importantes au titre de NIS2 ?

Les annexes I et II de la directive NIS2 énumèrent les secteurs. Les entités essentielles comprennent l'énergie, les transports, la banque, les infrastructures de marché financier, la santé, l'eau potable, les eaux usées, l'infrastructure numérique, la gestion des services TIC (B2B), l'administration publique et l'espace. Les entités importantes comprennent les services postaux, la gestion des déchets, les produits chimiques, l'alimentation, l'industrie manufacturière, les fournisseurs numériques et la recherche. La classification détermine le régime de surveillance et les niveaux de sanction maximaux. Directive NIS2, annexes I & II — EUR-Lex

Statistiques & contexte

Selon le rapport NIS Investments 2023 de l'ENISA, le budget cybersécurité médian des entités couvertes par NIS dans l'UE représentait environ 7,3 % des dépenses informatiques, alors que seulement 37 % des organisations interrogées disposaient d'un plan formel de réponse aux incidents testé au cours des 12 mois précédents. La directive NIS2 a fait passer le nombre de secteurs couverts de 7 (sous NIS1) à 18, et la Commission européenne a estimé que plus de 160'000 entités à travers l'UE entreraient dans son champ d'application. Les délais d'alerte précoce de 24 heures et de notification complète de 72 heures prévus à l'article 23 sont nettement plus serrés que la fenêtre de notification des violations de 72 heures du RGPD, ce qui exerce une pression supplémentaire sur les organes de direction pour maintenir une gouvernance opérationnelle des incidents. ENISA — NIS Investments 2023

Comparaison des sanctions NIS2 — entités essentielles ou importantes

Source : Directive (UE) 2022/2555 — EUR-Lex