NIS2 : la responsabilité du dirigeant, pas seulement celle de l'entreprise

NIS2 est souvent présentée comme une contrainte de conformité de plus. Ce qui change réellement : elle engage le dirigeant personnellement, pas uniquement sa société.

Ce que dit l'article 20

La directive prévoit que les organes de direction approuvent les mesures de gestion du risque cyber, en supervisent la mise en œuvre, et suivent une formation sur le sujet. Ce n'est plus un dossier qu'on délègue entièrement à un prestataire informatique.

En cas de manquement grave, la responsabilité personnelle du dirigeant peut être engagée. La sanction peut aller jusqu'à l'interdiction temporaire d'exercer une fonction de direction.

Qui est concerné

Environ 15 000 entités en France, contre 500 sous l'ancien régime NIS1, réparties sur 18 secteurs d'activité. Le seuil d'entrée se situe autour de 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de bilan.

Une entreprise plus petite n'est pas nécessairement à l'écart. Si vous êtes fournisseur d'une entité régulée, la pression descend déjà sur vous par contrat, sous forme de clauses cyber ou de questionnaires sécurité, avant même que la loi ne vous vise directement.

Où en est la France

La transposition passe par la loi Résilience, qui traite NIS2 en même temps que la directive sur la résilience des entités critiques et le règlement DORA. L'échéance européenne, fixée au 17 octobre 2024, n'a pas été tenue. Le texte poursuit son parcours parlementaire.

En attendant la promulgation, l'ANSSI a publié un référentiel préparatoire, le ReCyF, comme point d'appui pour structurer une auto-évaluation. Le statut exact de la loi bouge : vérifiez la situation au moment où vous lisez cette page plutôt que de vous fier à une date.

Pourquoi s'y préparer maintenant

La mise en conformité se compte en mois, pas en semaines. Cartographie des actifs, analyse de risque, plan de continuité, procédure de notification d'incident, revue des fournisseurs. Attendre la promulgation pour commencer, c'est subir un délai court plutôt que le maîtriser.

Et même sans obligation directe, la question se pose déjà en pratique dès qu'un donneur d'ordre régulé vous envoie un questionnaire sécurité. La conformité de vos clients descend sur vous avant que la vôtre ne devienne obligatoire.

Ce qu'ICCForge fait

L'analyse de risque et la formation des dirigeants prévues dans le déroulé de la méthode couvrent déjà l'essentiel de ce qu'exige l'article 20. Pas besoin d'attendre la loi pour commencer, ni de tout reconstruire une fois qu'elle sera promulguée.

Questions fréquentes

Le dirigeant est-il personnellement responsable ?

Oui, l'article 20 engage les organes de direction directement, avec une possibilité de responsabilité personnelle en cas de manquement grave.

Mon entreprise est-elle concernée ?

Environ 15 000 entités en France, seuil autour de 50 salariés ou 10 millions d'euros. Une plus petite structure peut l'être indirectement, comme fournisseur.

La loi est-elle déjà en vigueur ?

La transposition suit son parcours parlementaire. Le statut exact évolue, à vérifier au moment de la lecture.

Quelles sanctions ?

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, plus une possible responsabilité personnelle du dirigeant.