Responsabilité des dirigeants au titre de la NIS2 : ce que vous devez savoir

La directive NIS2 fait explicitement de la cybersécurité une responsabilité au niveau de la direction. Les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques en matière de cybersécurité, superviser leur mise en œuvre et peuvent être tenus responsables lorsque l’organisation ne respecte pas ses obligations dans ce domaine.

Dans cet article, nous expliquons ce que signifie la responsabilité NIS2 des dirigeants, quelles responsabilités incombent à l’organe de direction, quelle formation est exigée par NIS2 et quelles mesures de contrôle et d’exécution peuvent s’appliquer.

La directive NIS2 (UE) 2022/2555 est entrée en vigueur le 16 janvier 2023. Les États membres de l’Union européenne devaient la transposer dans leur droit national au plus tard le 17 octobre 2024. Les règles concrètes relatives à la responsabilité des organes de direction, au contrôle et à l’exécution sont toutefois définies dans les législations nationales. Leur portée juridique peut donc varier d’un État membre à l’autre, notamment lorsque la transposition nationale n’est pas encore achevée.

Pour consulter l’état de la mise en œuvre dans différents pays européens, rendez-vous sur NIS2certification.eu.

Obligations NIS2 des dirigeants #

L’article 20 de la directive NIS2 impose des responsabilités spécifiques aux organes de direction des entités essentielles et importantes. La cybersécurité n’est donc pas uniquement une responsabilité technique ou opérationnelle. Elle constitue également un enjeu de gouvernance nécessitant une implication active de la direction.

L’organe de direction doit au minimum :

• approuver les mesures de gestion des risques en matière de cybersécurité prévues à l’article 21 de la directive NIS2 ;
• superviser la mise en œuvre de ces mesures ;
• disposer de connaissances suffisantes pour évaluer les risques en matière de cybersécurité et les mesures prises pour les gérer ;
• comprendre les conséquences potentielles de ces risques sur les services fournis par l’organisation.

La directive NIS2 ne définit pas séparément l’organe de direction pour chaque forme juridique. Les personnes qui relèvent de cet organe ainsi que les règles applicables en matière de responsabilité personnelle dépendent donc également du droit national et de la structure juridique de l’organisation.

Les dirigeants peuvent-ils être tenus responsables au titre de NIS2 ? #

Oui. La directive NIS2 exige des États membres qu’ils veillent à ce que les organes de direction des entités essentielles et importantes puissent être tenus responsables des infractions commises par l’organisation aux obligations de gestion des risques en matière de cybersécurité visées à l’article 21.

Cela ne signifie pas que chaque dirigeant est automatiquement personnellement responsable dès qu’une organisation enfreint NIS2. La directive établit une responsabilité de l’organe de direction au niveau européen, tandis que les règles précises en matière de responsabilité, y compris l’éventuelle responsabilité personnelle d’un dirigeant, sont déterminées par le droit national applicable.

Des règles nationales spécifiques peuvent également s’appliquer aux autorités publiques, aux fonctionnaires ainsi qu’aux personnes élues ou nommées à des fonctions publiques.

Formation NIS2 pour les dirigeants et le management #

NIS2 impose également des exigences concernant les connaissances des organes de direction. L’article 20 prévoit que les membres des organes de direction des entités essentielles et importantes doivent suivre une formation.

Cette formation doit leur permettre d’acquérir les connaissances et compétences nécessaires pour :

• identifier les risques en matière de cybersécurité ;
• évaluer les mesures mises en œuvre pour gérer ces risques ;
• comprendre les conséquences des risques de cybersécurité sur les services de l’organisation ;
• exercer efficacement leur rôle de supervision et de décision en matière de cybersécurité.

La directive NIS2 ne prescrit ni une formation spécifique ni un organisme de formation déterminé. Les modalités précises de cette obligation peuvent varier selon les pays.

BC Academy propose une formation NIS2 Executive destinée aux dirigeants et aux équipes de management. Cette formation intra-entreprise aborde notamment la directive NIS2, la gouvernance, les risques de cybersécurité et le rôle du management. Chaque participant reçoit une attestation de participation à l’issue de la formation.

NIS2 prévoit également que les États membres doivent encourager les entités essentielles et importantes à proposer régulièrement des formations similaires en matière de cybersécurité à leurs collaborateurs.

Contrôle du respect de NIS2 #

Les États membres de l’Union européenne doivent désigner des autorités nationales compétentes chargées de contrôler le respect de la législation nationale transposant NIS2. L’autorité compétente et les modalités concrètes du contrôle peuvent varier en fonction du pays et du secteur.

La directive NIS2 établit une distinction entre le contrôle des entités essentielles et celui des entités importantes.

Pour les entités essentielles, les autorités compétentes doivent notamment disposer de pouvoirs leur permettant de :

• effectuer des inspections sur place et des contrôles à distance ;
• réaliser ou faire réaliser des audits de sécurité réguliers et ciblés ;
• effectuer des audits ad hoc lorsqu’ils sont justifiés ;
• réaliser des analyses de sécurité fondées sur des critères objectifs, transparents et liés aux risques ;
• demander des informations, des documents et des éléments de preuve ;
• demander des preuves démontrant que les politiques de cybersécurité et les mesures de gestion des risques ont effectivement été mises en œuvre.

Pour les entités importantes, le cadre européen prévoit principalement un contrôle a posteriori. Des mesures de contrôle sont généralement prises lorsqu’il existe des éléments de preuve, des indications ou des informations laissant penser que l’entité ne respecte peut-être pas ses obligations NIS2.

Les procédures et pouvoirs de contrôle détaillés sont définis dans la législation nationale.

Mesures d’exécution en cas de non-conformité #

Lorsqu’une entité essentielle ou importante ne respecte pas les exigences NIS2 applicables, les autorités compétentes peuvent recourir à différentes mesures d’exécution. Selon la législation nationale, celles-ci peuvent notamment comprendre :

• des avertissements ;
• des instructions contraignantes visant à remédier aux manquements constatés ;
• des injonctions visant à faire cesser un comportement contraire à la législation ;
• l’obligation d’adapter les mesures de gestion des risques en matière de cybersécurité ;
• l’obligation de mettre en œuvre les recommandations résultant d’un audit de sécurité ;
• l’obligation de rendre publiques certaines informations relatives à une infraction ;
• des amendes administratives.

Pour les entités essentielles, NIS2 prévoit également des mesures supplémentaires lorsque les mesures d’exécution précédentes se sont révélées inefficaces. Sous réserve du droit national, une certification ou une autorisation peut par exemple être temporairement suspendue. Les autorités compétentes peuvent également demander qu’une personne exerçant des responsabilités dirigeantes au niveau du directeur général ou du représentant légal soit temporairement empêchée d’exercer des fonctions dirigeantes au sein de l’entité essentielle concernée.

Ces mesures temporaires ne s’appliquent que jusqu’à ce que l’entité ait remédié aux manquements constatés ou satisfait aux exigences de l’autorité compétente.

Amendes prévues par NIS2 #

La directive NIS2 établit des exigences minimales concernant les amendes administratives maximales que les États membres doivent prévoir dans leur législation nationale.

• Entités essentielles : une amende administrative maximale d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
• Entités importantes : une amende administrative maximale d’au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

Ces seuils européens concernent les amendes administratives imposées à l’entité pour des infractions portant notamment sur la gestion des risques de cybersécurité et la notification des incidents. Ils ne signifient pas qu’un dirigeant individuel se voit automatiquement infliger personnellement une amende de ce montant.

Les pouvoirs d’exécution, les sanctions et les règles de responsabilité définitifs sont déterminés par la législation nationale de chaque État membre de l’Union européenne.

La responsabilité NIS2 exige une implication active de la direction #

NIS2 indique clairement que la cybersécurité ne relève pas uniquement du service informatique ou de la fonction de sécurité de l’information. L’organe de direction doit participer activement à la gestion des risques de cybersécurité, approuver les mesures concernées et superviser leur mise en œuvre.

Les dirigeants doivent également acquérir des connaissances suffisantes pour assumer cette responsabilité. L’obligation de formation des membres des organes de direction confirme que la cybersécurité fait désormais partie intégrante de la gouvernance et de la gestion des risques de l’organisation.

NIS2 étant une directive européenne, les règles concrètes en matière de responsabilité, de contrôle et d’exécution sont définies dans les législations nationales. Les organisations actives dans plusieurs pays européens doivent donc tenir compte à la fois du cadre européen NIS2 et de la législation nationale applicable dans chaque État membre concerné.

Vous souhaitez en savoir plus sur l’évaluation indépendante dans le cadre de NIS2 ? #

Brand Compliance réalise des activités indépendantes de certification et de vérification qui peuvent, selon le cadre national applicable, contribuer à démontrer la mise en œuvre de mesures de cybersécurité.

Vous avez des questions concernant la certification ISO/IEC 27001, la vérification CyFun® ou un autre processus d’évaluation ? Demandez un premier échange sans engagement avec Brand Compliance. Nous pouvons vous expliquer le processus d’évaluation, les informations nécessaires et le périmètre envisageable.