NIS2 et PME #1 : la responsabilité des dirigeants, ce que dit vraiment le texte

Avec la direc­tive européenne NIS2 (direc­tive (UE) 2022/2555), la cyber­sécu­rité change de statut pour les PME et les plus grandes entre­pris­es. Elle n’est plus un sim­ple sujet tech­nique con­fié au respon­s­able ou prestataire infor­ma­tique. Elle devient un sujet de direc­tion d’en­tre­prise, au même titre que le développe­ment com­mer­cial, les finances ou les ressources humaines.

Cette respon­s­abil­ité revient à la direc­tion. D’où une ques­tion que nos clients nous posent sou­vent. « On lit que “sous NIS2, les dirigeants devi­en­nent per­son­nelle­ment respon­s­ables”. Qu’est-ce que ça veut dire, con­crète­ment ? » La for­mule cir­cule beau­coup. Nous avons donc voulu véri­fi­er ce que dit vrai­ment le texte.

Nous avons lu la direc­tive elle-même et répon­dons en trois volets dans cet arti­cle. Qui sont les dirigeants visés, quelles sont leurs oblig­a­tions au titre de l’article 20, et ce qu’il en est réelle­ment de cette « respon­s­abil­ité per­son­nelle ». 

NB : Notre lec­ture porte sur la direc­tive. En France, les règles pré­cis­es dépen­dront de la loi Résilience, qui intè­gre NIS2 au droit français. Son exa­m­en à l’Assemblée nationale est prévu en octo­bre 2026. Nous met­trons cet arti­cle à jour après son adop­tion défini­tive.

Que vous soyez directe­ment soumis à la direc­tive NIS2, four­nisseur d’une entité assu­jet­tie, ou hors périmètre NIS2, cet arti­cle vous donne les clés pour com­pren­dre et anticiper les nou­velles normes de cyber­sécu­rité dans l’U­nion européenne.
Cet arti­cle fait par­tie de notre série “NIS2 et PME“. Pour clar­i­fi­er votre statut ou com­pren­dre les exi­gences de la direc­tive, voir notre page “NIS2 et PME : Guide pra­tique des Dirigeants”.

Qui sont les dirigeants visés par NIS2 ?

NIS2 vise la direc­tion de l’entreprise, appelée « organe de direc­tion ». Ce sont les per­son­nes qui ont le pou­voir de décider, de représen­ter et de con­trôler l’entreprise.

C’est l’arti­cle 20 de NIS2 qui fixe leur rôle. Il demande à l’organe de direc­tion d’approuver les mesures de ges­tion des risques cyber et d’en super­vis­er la mise en œuvre.

En pra­tique, pour une entre­prise française (SA, SAS ou SARL, c’est-à-dire société anonyme, société par actions sim­pli­fiée ou société à respon­s­abil­ité lim­itée), cette notion recou­vre générale­ment, selon nous, deux pro­fils.

Quelles sont les 3 obligations du dirigeant selon NIS2 ?

L’article 20 de la direc­tive demande à la direc­tion de jouer un rôle act­if. Il fixe trois oblig­a­tions, approu­ver, super­vis­er et se for­mer. Il y ajoute une con­séquence. La direc­tion doit pou­voir être tenue respon­s­able.

Voici ce que cela veut dire, point par point.

Con­crète­ment, il faut inté­gr­er la cyber­sécu­rité dans votre ges­tion habituelle de l’entreprise, en faisant des points de sit­u­a­tion réguliers, et non plus unique­ment le jour où une attaque paral­yse votre pro­duc­tion.

Le dirigeant peut-il déléguer la cybersécurité de son entreprise ?

Oui pour la mise en œuvre, non pour lesdéci­sionsetleursuivi.

L’article 20 place la cyber­sécu­rité au som­met de l’entreprise. Il met fin à l’idée d’un sujet pure­ment tech­nique, lais­sé au ser­vice infor­ma­tique ou au RSSI (respon­s­able de la sécu­rité des sys­tèmes d’information).

C’est ici le même principe que pour les finances. Le dirigeant ne tient pas lui-même la compt­abil­ité, mais il reste respon­s­able des grandes déci­sions et de leur suivi.

L’approbation et la super­vi­sion revi­en­nent à la direc­tion elle-même. La for­ma­tion, elle, s’adresse à cha­cun de ses mem­bres.

Notre lec­ture est donc la suiv­ante. Le texte con­fie ces trois oblig­a­tions à la direc­tion, et rien n’indique qu’elle puisse s’en décharg­er sur quelqu’un d’autre. En revanche, elle peut déléguer la mise en œuvre tech­nique et organ­i­sa­tion­nelle à ses équipes ou à un prestataire.

Pour en savoir plus sur les dif­férences entre cyber­sécu­rité et infor­ma­tique, lire notre arti­cle NIS2 & PME #4 : quelles dif­férences entre cyber­sécu­rité et infor­ma­tique ?

Un dirigeant d’une PME peut-il être personnellement responsable sous NIS2 ?

La réponse courte est « oui, mais pas comme on le lit sou­vent ». NIS2 demande que le dirigeant puisse être tenu respon­s­able si l’entreprise ne respecte pas ses oblig­a­tions de cyber­sécu­rité. Mais, sauf dans un cas pré­cis, elle ne fixe pas elle-même de sanc­tion per­son­nelle visant les dirigeants.

La for­mule qu’on lit sou­vent « NIS2 engage la respon­s­abil­ité per­son­nelle du dirigeant » n’est pas fausse mais incom­plète. Elle laisse croire que la direc­tive prévoit une amende payée par le dirigeant sur ses biens per­son­nels, des pour­suites directes par les vic­times ou la perte défini­tive de son poste. Ce n’est pas ce que dit le texte.

Voici ce que nous lisons dans la direc­tive.

• Pas d’amende per­son­nelle prévue par la direc­tive. Les amendes de NIS2 (arti­cle 34) visent l’entreprise, et non le dirigeant. Elles sont payées par la société. La loi française qui intè­gre NIS2 peut toute­fois prévoir d’autres sanc­tions.
• Pas d’interdiction de diriger pour laplu­part des PME*. La direc­tive prévoit une inter­dic­tion tem­po­raire de diriger (arti­cle 32), en dernier recours, qui ne vise que les dirigeants d’entités essen­tielles (EE). Or la plu­part des PME con­cernées par NIS2 sont des entités impor­tantes (EI).
• Pas de recours des vic­times con­tre le dirigeant prévu par la direc­tive. NIS2 ne prévoit pas que les clients et parte­naires lésés par une cyber­at­taque touchant l’entreprise puis­sent se retourn­er con­tre le dirigeant. En principe, c’est l’entreprise qui doit répar­er les dom­mages.
• Le vrai risque per­son­nel vient du droit des sociétés.
  • Une fois NIS2 inté­grée au droit français, approu­ver, super­vis­er et se for­mer devien­dront des oblig­a­tions prévues par la loi.
  • Un dirigeant qui les ignore peut se voir reprocher une faute. Le droit des sociétés par­le de faute de ges­tion ou de vio­la­tion de la loi.
  • En cas de sin­istre majeur ou d’amende qui met la PME en dif­fi­culté, les asso­ciés peu­vent lui deman­der de répar­er le dom­mage subi par la société, si sa faute y a con­tribué. Si l’entreprise est mise en liq­ui­da­tion, le liq­ui­da­teur peut aus­si lui deman­der de combler une par­tie des dettes, à con­di­tion de prou­ver une faute qui dépasse la sim­ple nég­li­gence. Le dirigeant paie alors sur ses biens per­son­nels.

* Cer­taines PME sont des entités essen­tielles, quelle que soit leur taille : par exem­ple, les four­nisseurs de ser­vices DNS (sys­tème de noms de domaine) ou les prestataires de ser­vices de con­fi­ance qual­i­fiés. L’État peut aus­si désign­er lui-même une entre­prise comme entité essen­tielle.

Le risque immé­di­at pèse donc moins sur vous, dirigeant, à titre per­son­nel, que sur votre entre­prise. Pour elle, les enjeux sont financiers, juridiques et répu­ta­tion­nels. L’autorité de con­trôle (en France, l’ANSSI, Agence nationale de la sécu­rité des sys­tèmes d’information) peut notam­ment oblig­er l’entreprise à ren­dre publics ses man­que­ments (le « name and shame »). Cela peut frag­ilis­er durable­ment la con­fi­ance de vos clients et parte­naires, notam­ment lors des audits de la chaîne d’approvisionnement (sup­ply chain)**.

* Pour en savoir plus sur les caté­gories d’entité soumis­es à NIS2, référez-vous à notre page NIS2 et PME : Guide pra­tique des dirigeants.
**Pour en savoir plus sur la sécu­rité de la chaîne d’approvisionnement, lire nos arti­cles
NIS2 & PME #2 : l’effet domi­no du risque four­nisseur
Risque cyber sup­ply chain #1 : com­ment vos four­nisseurs vous exposent
Risque cyber sup­ply chain #2 : quand vous exposez vos parte­naires

Par où commencer ? Les 3 premiers pas LINARIS

Trois pre­miers pas, sans exper­tise tech­nique. Met­tre la cyber­sécu­rité à l’agenda du comité de direc­tion, s’appuyer sur un référent cyber et se for­mer aux risques essen­tiels.

Voici com­ment les met­tre en œuvre con­crète­ment, sans atten­dre et sans tout révo­lu­tion­ner.

1. Mettre la cybersécurité à l’agenda 

Il s’agit de com­mencer à par­ler de cyber dans vos instances de déci­sion de manière régulière, au même titre qu’un sujet financier ou com­mer­cial.

2.Vous appuyer sur un référent cyber

Nom­mer un référent cyber, interne ou externe, capa­ble de vous remon­ter l’état de cyber­sécu­rité de la struc­ture de façon lis­i­ble, en lan­gage de déci­sion et sans jar­gon tech­nique.

3.Vous former 

Sans devenir un expert de la tech­nique, l’en­jeu est de con­naître les mécaniques glob­ales et savoir iden­ti­fi­er les risques prin­ci­paux pour endoss­er votre rôle de pilote en toute con­fi­ance.

Le reste relève d’un diag­nos­tic cyber appro­fon­di, pro­pre à chaque entre­prise. Savoir où vous en êtes vrai­ment, quels risques traiter en pre­mier, quel bud­get est juste pour votre activ­ité.

En résumé

NIS2 con­fie à la direc­tion trois oblig­a­tions en cyber­sécu­rité, approu­ver, super­vis­er et se for­mer. Elle demande aus­si que la direc­tion puisse être tenue respon­s­able si l’entreprise ne respecte pas ses oblig­a­tions de cyber­sécu­rité. En revanche, la direc­tive ne prévoit pas d’amende payée par le dirigeant et n’impose pas que les vic­times puis­sent se retourn­er con­tre lui. Les amendes visent l’entreprise. L’interdiction tem­po­raire de diriger est réservée aux entités essen­tielles, en dernier recours.

Pour le dirigeant de PME, le vrai risque per­son­nel vient du droit des sociétés. En cas de cyber­at­taque majeure, s’il a ignoré ces oblig­a­tions NIS2, sa faute de ges­tion pour­rait être plus facile à démon­tr­er.

En plaçant la cyber­sécu­rité au niveau de la direc­tion, la direc­tive trace une voie limpi­de. L’obligation respon­s­abilise, la respon­s­abil­ité exige la con­nais­sance, et la con­nais­sance ren­force la résilience.

Auteur
Lai LY
Spé­cial­iste Gou­ver­nance Cyber PME
Spé­cial­iste Secteurs Ser­vices Financiers

Con­tribu­teur
Stéphane HIVERT
Spé­cial­iste Cyber­sécu­rité PME
Spé­cial­iste Secteurs Indus­trie, E‑Commerce

Note d’édi­tion : Pour alléger la lec­ture, le mas­culin est employé dans cet arti­cle comme genre neu­tre. Ce con­tenu a une voca­tion pure­ment péd­a­gogique et prag­ma­tique ; nous ne faisons aucune inter­pré­ta­tion juridique ou antic­i­pa­tion de la trans­po­si­tion française (voir notre men­tion com­plète ci-dessous).

Disclaimer

Cet arti­cle est fourni à titre infor­matif unique­ment et reflète l’opinion de son auteur à sa date de pub­li­ca­tion. Il ne con­stitue pas un avis juridique ou régle­men­taire et ne saurait engager la respon­s­abil­ité de l’éditeur quant à l’exhaustivité des infor­ma­tions fournies. Les men­aces cyber et les niveaux de risque évolu­ant con­stam­ment dans le temps, toute déci­sion prise sur la base de cette lec­ture relève de la seule respon­s­abil­ité du lecteur.
 Note spé­ci­fique à la direc­tive NIS2 : Comme indiqué en intro­duc­tion, les élé­ments partagés dans cet arti­cle découlent directe­ment du texte européen (Direc­tive (UE) 2022/2555) et restent soumis aux décrets de la trans­po­si­tion française. Ce con­tenu a une voca­tion pure­ment péd­a­gogique et prag­ma­tique. Il ne con­stitue pas un avis juridique et ne saurait en aucun cas rem­plac­er une analyse juridique per­son­nal­isée au cas par cas pour votre entre­prise.