NIS 2 et dirigeants : responsabilité et gouvernance de la cybersécurité

L'article 20 est court, mais il change l'équilibre des responsabilités. Son premier paragraphe impose aux États de veiller à ce que les organes de direction des entités essentielles et importantes :

• approuvent les mesures de gestion des risques en matière de cybersécurité prises pour respecter l'article 21 ;
• supervisent leur mise en œuvre ;
• puissent être tenus responsables de la violation de cet article par l'entité.

Le second paragraphe ajoute une obligation de formation des membres des organes de direction, pour qu'ils acquièrent assez de connaissances pour repérer les risques et évaluer les pratiques de gestion des risques et leur impact sur les services de l'entité. Les États doivent aussi encourager les entités à offrir régulièrement une formation semblable à leur personnel.

La directive ne crée pas un régime de responsabilité pénale propre : elle renvoie aux règles nationales de responsabilité. Elle prévoit en revanche plusieurs leviers qui visent directement les dirigeants, surtout dans les entités essentielles :

• toute personne physique qui dirige ou représente une entité essentielle doit avoir le pouvoir d'en assurer la conformité, et peut être tenue responsable si elle manque à ce devoir (article 32, paragraphe 6) ;
• si les injonctions de l'autorité restent sans effet, celle-ci peut demander une interdiction temporaire, pour le directeur général ou le représentant légal, d'exercer des fonctions de direction dans l'entité, jusqu'à la mise en conformité (article 32, paragraphe 5). Cette mesure ne s'applique pas aux entités de l'administration publique ;
• l'autorité peut ordonner de rendre publics certains aspects d'un manquement, de la manière qu'elle précise (article 32, paragraphe 4).

Pour les administrations et les collectivités, la directive réserve les règles nationales sur la responsabilité des agents publics et des élus. Le détail des sanctions, y compris pour les dirigeants, est présenté dans notre article Les sanctions de NIS 2. Les modalités françaises dépendront de la loi « résilience », non adoptée au 9 octobre 2026.

La directive ne définit pas précisément l'organe de direction : il dépend de la forme juridique de l'entité. Dans une société, ce sera en général la direction générale et, selon la gouvernance, le conseil d'administration ou le directoire. Dans une collectivité, l'exécutif et ses délégataires. L'essentiel est que les décisions de sécurité soient prises au niveau qui engage l'entité et que cela se voie dans les documents.

La version de travail du ReCyF de l'ANSSI traduit cette exigence dans son objectif 2, « mise en œuvre d'un cadre de gouvernance de la sécurité numérique », applicable aux entités essentielles comme importantes, avec notamment une politique de sécurité revue au moins une fois par an. Voir le chapitre ReCyF, le référentiel cyber France.

Ces pratiques ne sont pas propres à NIS 2 : on les retrouve dans toute démarche de gouvernance, gestion des risques et conformité (GRC) et dans un SMSI selon ISO 27001. L'intérêt est de ne tenir qu'un seul dispositif pour plusieurs référentiels.