Quelle est la responsabilité du dirigeant sous NIS2 ?

Ce que dit l'article 20 de la directive NIS2

L'article 20 de la directive (UE) 2022/2555 est court, mais il change la nature de la cybersécurité dans l'entreprise. Il pose trois obligations pour les « organes de direction » des entités essentielles et importantes :

1. Approuver les mesures de gestion des risques en matière de cybersécurité prises par l'entité (celles de l'article 21).
2. Superviser leur mise en œuvre.
3. Suivre une formation régulière pour acquérir des connaissances suffisantes afin d'identifier les risques et d'évaluer les pratiques de gestion des risques ; la directive encourage à offrir une formation similaire aux salariés.

Le même article précise que les organes de direction « peuvent être tenus responsables » des violations de ces obligations. Le terme « organes de direction » vise, selon les formes sociales, le conseil d'administration, le directoire, le président, le directeur général ou les gérants. Autrement dit, la cybersécurité cesse d'être un sujet délégué à la DSI pour devenir un sujet de gouvernance, au même titre que la conformité financière.

Pour le détail des exigences techniques attendues, voir notre fiche sur la directive NIS2 et la définition de NIS2 dans notre glossaire.

Quelles sanctions visent personnellement le dirigeant ?

La directive distingue deux niveaux.

Les sanctions contre l'entité (article 34) :

Les mesures contre les personnes physiques (article 32, paragraphe 5, pour les entités essentielles) : si les injonctions de l'autorité restent sans effet dans le délai fixé, celle-ci peut demander que soit prononcée une interdiction temporaire d'exercer des fonctions de direction à l'encontre de toute personne physique exerçant des responsabilités dirigeantes au niveau du directeur général ou du représentant légal, jusqu'à ce que l'entité se mette en conformité. L'autorité peut aussi suspendre temporairement une certification ou une autorisation d'activité.

À cela s'ajoute le droit commun : la faute de gestion en cas de défaillance manifeste de sécurité peut engager la responsabilité civile du dirigeant vis-à-vis de la société et des tiers, et une cyberattaque ayant entraîné une violation de données personnelles expose parallèlement l'entité aux sanctions du RGPD (jusqu'à 4 % du chiffre d'affaires mondial).

Où en est la transposition française de NIS2 ?

La France devait transposer la directive avant le 17 octobre 2024. Le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », dit loi Résilience, transpose en un seul texte NIS2, DORA et la directive REC. Il a été adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, à l'unanimité.

En attendant, l'ANSSI a déjà ouvert la plateforme MonEspaceNIS2 (préenregistrement depuis le 24 novembre 2025) et publié le Référentiel Cyber France (ReCyF), qui détaille les exigences techniques attendues. L'ANSSI estime entre 15 000 et 18 000 le nombre d'entités concernées en France, contre environ 500 sous NIS1, et a annoncé une montée en conformité progressive sur environ trois ans après la publication des exigences techniques. Cette période transitoire ne suspend pas l'obligation de gouvernance : c'est justement pendant ces trois ans que le dirigeant doit démontrer qu'il pilote.

Comment le dirigeant démontre-t-il qu'il a rempli ses obligations ?

La responsabilité NIS2 se joue sur la preuve. Un dirigeant qui peut produire les cinq éléments suivants est en position défendable devant l'autorité comme devant un juge.

1. Une décision formelle d'approbation de la politique de sécurité et du plan de gestion des risques : procès-verbal de conseil, délibération, ou décision du président datée et archivée.
2. Un point cybersécurité récurrent à l'ordre du jour de l'organe de direction (au minimum trimestriel), avec un tableau de bord : incidents, vulnérabilités critiques ouvertes, avancement du plan, résultats des audits.
3. Une attestation de formation du ou des dirigeants, renouvelée périodiquement, portant sur les risques, les obligations NIS2 et la gestion de crise.
4. Une organisation nommée : un responsable de la sécurité (RSSI interne ou externalisé) avec une lettre de mission, des moyens et un accès direct à la direction.
5. Une chaîne de notification testée : qui décide de notifier l'ANSSI, dans quel délai, avec quelles informations, et un exercice de crise réalisé dans l'année.

Aucun de ces éléments n'exige d'être expert technique. Ils exigent d'avoir organisé, financé et contrôlé.

Les erreurs les plus fréquentes observées chez les dirigeants

• Attendre les décrets : le contenu des obligations est connu depuis 2022, seuls les modalités et le calendrier de contrôle sont à préciser. L'attente se retourne contre le dirigeant, car elle documente l'inaction.
• Déléguer sans superviser : confier le sujet à la DSI ou à un prestataire sans reporting formel ne satisfait pas l'obligation de supervision.
• Se croire hors périmètre : une PME de 50 salariés dans un secteur de l’annexe II est une entité importante ; un sous-traitant d'une entité essentielle peut être soumis par contrat à des exigences équivalentes.
• Confondre assurance et conformité : une police cyber n'exonère pas de la responsabilité de gouvernance et de nombreux assureurs conditionnent désormais la garantie à des mesures de l'article 21.
• Oublier la double exposition : un incident de sécurité déclenche souvent à la fois NIS2 (notification à l'ANSSI) et le RGPD (notification à la CNIL sous 72 heures).

Par où commencer cette semaine

1. Vérifier le statut de votre organisation (essentielle, importante, hors périmètre) avec le test en 5 questions.
2. Inscrire un point NIS2 au prochain ordre du jour de l'organe de direction et faire acter le lancement d'un diagnostic.
3. Désigner un responsable, interne ou externalisé, avec une lettre de mission.
4. Planifier une formation dirigeants de 2 à 3 heures dans le trimestre.
5. Réaliser l'autodiagnostic NIS2 pour obtenir un état des lieux des 10 mesures de l'article 21.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), articles 20, 21, 23, 32, 33 et 34, EUR-Lex.
• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dossier législatif, Sénat et Assemblée nationale.
• ANSSI, MesServicesCyber, « Directive NIS 2 » et Référentiel Cyber France (ReCyF).