16 avril 2026 • NIS2
Avec la directive NIS 2, la cybersécurité n'est plus une question que le conseil d'administration peut déléguer et oublier. La directive attribue clairement la responsabilité à la direction et, dans certaines circonstances, engage la responsabilité personnelle des administrateurs. Sous-estimer cet aspect ne constitue pas seulement un risque pour l'organisation, mais aussi un risque juridique personnel.
Ce que dit la directive NIS2 sur le rôle des administrateurs
L'article 20 de la directive NIS 2 est sans ambiguïté : les organes de direction des organisations relevant de cette directive doivent approuver les mesures de cybersécurité et superviser activement leur mise en œuvre. Il s'agit là d'un changement fondamental par rapport à la directive NIS 1 initiale, en vertu de laquelle la cybersécurité incombait, dans la pratique, principalement au service informatique.
La directive NIS2 exige que les membres du conseil d'administration possèdent une connaissance suffisante des risques liés à la cybersécurité pour pouvoir exercer leur rôle de surveillance de manière efficace. La directive impose même explicitement que les dirigeants suivent une formation dans ce domaine. Il ne suffit pas de s'en remettre à un responsable de la sécurité des systèmes d'information (RSSI) ou à une société de sécurité externe ; la responsabilité finale incombe au conseil d'administration.
Responsabilité civile : ce que cela signifie concrètement
Aux Pays-Bas, la directive NIS2 a été transposée dans la loi sur la cybersécurité (Cyberbeveiligingswet, Cbw). Cette loi instaure un régime de responsabilité qui va au-delà des amendes infligées aux organisations. Lorsqu'une négligence manifeste de la part d'un dirigeant peut être établie, l'autorité de contrôle peut interdire temporairement à cette personne d'exercer des fonctions de direction. Cette mesure vise l'individu, et non l'organisation.
Concrètement, un administrateur qui a systématiquement omis de mettre en place des mesures de cybersécurité adéquates, ou qui a ignoré ou dissimulé un incident grave, peut être temporairement démis de ses fonctions. Ce pouvoir est expressément conçu comme un moyen de pression visant à contraindre les administrateurs à prendre leurs responsabilités au sérieux.
La disposition relative à la responsabilité personnelle prévue par la loi sur la cybersécurité ne s'applique que lorsqu'il est possible d'établir une négligence manifeste de la part d'un administrateur en particulier. Elle ne découle pas automatiquement de tout incident, mais est réservée aux situations dans lesquelles le conseil d'administration a manqué de manière structurelle à son rôle de surveillance.
Quelles sont les organisations concernées par ces règles ?
La directive NIS2 établit une distinction entre les entités essentielles et les entités importantes. Les entités essentielles sont les grandes organisations opérant dans des secteurs critiques tels que l'énergie, les transports, les soins de santé, l'eau potable et les infrastructures numériques. Les entités importantes sont les organisations de taille moyenne actives dans ces mêmes secteurs, auxquelles s'ajoutent des secteurs tels que l'industrie chimique, la production alimentaire et les fournisseurs de services numériques.
Les obligations incombant au conseil d'administration en vertu de l'article 20 s'appliquent aux deux catégories. La différence réside dans l'intensité de la surveillance : les entités essentielles peuvent faire l'objet d'audits proactifs de la part de l'autorité compétente, tandis que la surveillance des entités importantes est en principe réactive, déclenchée par des signalements ou des incidents.
| Catégorie | Taille | Supervision | Amende maximale |
|---|---|---|---|
| Entité essentielle | Grande entreprise (plus de 250 salariés ou plus de 50 millions d'euros de chiffre d'affaires) | Proactif | 10 millions d'euros ou 2 % du chiffre d'affaires mondial |
| Entité importante | Moyenne (50 à 250 employés) | Réactif | 7 millions d'euros, soit 1,4 % du chiffre d'affaires mondial |
Qu'attend-on réellement des administrateurs ?
La loi n'impose aucune exigence technique spécifique aux membres du conseil d'administration, mais elle définit des exigences en matière d'organisation et de procédures. Dans la pratique, celles-ci se résument à quatre responsabilités :
- Adoption de la politique: le conseil d'administration doit adopter officiellement la politique de cybersécurité et la réexaminer périodiquement, et non se contenter d'en prendre connaissance à titre informatif.
- Allocation du budget: des mesures de sécurité adéquates nécessitent des ressources. Il incombe au conseil d'administration de mettre ces ressources à disposition.
- Assurer la supervision: il doit exister des voies hiérarchiques permettant au conseil d'administration d'évaluer le niveau de sécurité de l'organisation, même sans disposer d'une expertise technique.
- Suivi des incidents: lorsqu'un incident grave se produit, le conseil d'administration doit participer activement à la gestion de la situation et doit respecter les obligations de notification envers les autorités de contrôle.
L'obligation de notification et le rôle du conseil d'administration à cet égard
La directive NIS2 impose des obligations de notification strictes en cas d'incidents majeurs. Une alerte précoce doit être transmise à l'autorité compétente dans les 24 heures suivant la découverte de l'incident. Un rapport détaillé doit suivre dans les 72 heures, et un rapport final dans un délai d'un mois. Ce délai suppose que le conseil d'administration soit informé immédiatement et puisse agir rapidement.
Un dirigeant qui ignore comment fonctionnent les procédures internes d'escalade, ou qui n'est informé d'un incident grave que plusieurs jours après les faits, se crée des difficultés inutiles, tant sur le fond que sur le plan juridique. Le respect de l'obligation de notification est, après tout, l'un des aspects que les autorités de contrôle peuvent vérifier assez facilement.
Comment se préparer en tant que réalisateur
La préparation commence par une bonne compréhension de la situation. Un dirigeant n'a pas besoin d'être un expert en sécurité, mais il doit comprendre les risques auxquels l'organisation est exposée, les mesures mises en place et la manière dont l'organisation réagit en cas de problème. Cela nécessite la présentation de rapports de sécurité périodiques au conseil d'administration, des procédures d'escalade claires et un plan d'intervention en cas d'incident que le conseil d'administration connaît bien.
La directive NIS 2 exige également expressément que les administrateurs suivent une formation en cybersécurité. Non pas pour leur permettre d'acquérir des compétences techniques, mais pour leur donner les moyens d'évaluer les risques et d'analyser les politiques mises en place. Les organisations qui prennent cette exigence au sérieux consignent également ces formations, afin de pouvoir démontrer, lors d'un audit, que le conseil d'administration a rempli ses obligations.
La sensibilisation à la sécurité est un maillon sous-estimé de cette chaîne, et pas seulement pour les employés. Un dirigeant capable de reconnaître une tentative d’hameçonnage comprend les enjeux, contrairement à un simple employé qui n’en a pas conscience. Guardey aide les organisations à ancrer cette sensibilisation à tous les niveaux, de l’atelier à la salle du conseil.
C'est ici que commence la mise en conformité avec la directive NIS2
Mettez en place une culture de la sécurité avant que les autorités de contrôle ne viennent frapper à votre porte.
