La directive NIS2 (UE) 2022\/2555<\/a> est entr\u00e9e en vigueur le 16 janvier 2023. Les \u00c9tats membres de l\u2019Union europ\u00e9enne devaient la transposer dans leur droit national au plus tard le 17 octobre 2024. Les r\u00e8gles concr\u00e8tes relatives \u00e0 la responsabilit\u00e9 des organes de direction, au contr\u00f4le et \u00e0 l\u2019ex\u00e9cution sont toutefois d\u00e9finies dans les l\u00e9gislations nationales. Leur port\u00e9e juridique peut donc varier d\u2019un \u00c9tat membre \u00e0 l\u2019autre, notamment lorsque la transposition nationale n\u2019est pas encore achev\u00e9e.<\/p>\n Pour consulter l\u2019\u00e9tat de la mise en \u0153uvre dans diff\u00e9rents pays europ\u00e9ens, rendez-vous sur NIS2certification.eu<\/a>.<\/p>\n L\u2019article 20 de la directive NIS2 impose des responsabilit\u00e9s sp\u00e9cifiques aux organes de direction des entit\u00e9s essentielles et importantes. La cybers\u00e9curit\u00e9 n\u2019est donc pas uniquement une responsabilit\u00e9 technique ou op\u00e9rationnelle. Elle constitue \u00e9galement un enjeu de gouvernance n\u00e9cessitant une implication active de la direction.<\/p>\n L\u2019organe de direction doit au minimum :<\/p>\n La directive NIS2 ne d\u00e9finit pas s\u00e9par\u00e9ment l\u2019organe de direction pour chaque forme juridique. Les personnes qui rel\u00e8vent de cet organe ainsi que les r\u00e8gles applicables en mati\u00e8re de responsabilit\u00e9 personnelle d\u00e9pendent donc \u00e9galement du droit national et de la structure juridique de l\u2019organisation.<\/p>\n Oui. La directive NIS2 exige des \u00c9tats membres qu\u2019ils veillent \u00e0 ce que les organes de direction des entit\u00e9s essentielles et importantes puissent \u00eatre tenus responsables des infractions commises par l\u2019organisation aux obligations de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9 vis\u00e9es \u00e0 l\u2019article 21.<\/p>\n Cela ne signifie pas que chaque dirigeant est automatiquement personnellement responsable d\u00e8s qu\u2019une organisation enfreint NIS2. La directive \u00e9tablit une responsabilit\u00e9 de l\u2019organe de direction au niveau europ\u00e9en, tandis que les r\u00e8gles pr\u00e9cises en mati\u00e8re de responsabilit\u00e9, y compris l\u2019\u00e9ventuelle responsabilit\u00e9 personnelle d\u2019un dirigeant, sont d\u00e9termin\u00e9es par le droit national applicable.<\/p>\n Des r\u00e8gles nationales sp\u00e9cifiques peuvent \u00e9galement s\u2019appliquer aux autorit\u00e9s publiques, aux fonctionnaires ainsi qu\u2019aux personnes \u00e9lues ou nomm\u00e9es \u00e0 des fonctions publiques.<\/p>\n NIS2 impose aux organes de direction d\u2019approuver les mesures de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9 et de superviser leur mise en \u0153uvre. La question de savoir si, et dans quelles circonstances, un dirigeant individuel peut \u00eatre tenu personnellement responsable d\u00e9pend de la l\u00e9gislation nationale applicable.<\/p>\n<\/div>\n NIS2 impose \u00e9galement des exigences concernant les connaissances des organes de direction. L\u2019article 20 pr\u00e9voit que les membres des organes de direction des entit\u00e9s essentielles et importantes doivent suivre une formation<\/strong>.<\/p>\n Cette formation doit leur permettre d\u2019acqu\u00e9rir les connaissances et comp\u00e9tences n\u00e9cessaires pour :<\/p>\n La directive NIS2 ne prescrit ni une formation sp\u00e9cifique ni un organisme de formation d\u00e9termin\u00e9. Les modalit\u00e9s pr\u00e9cises de cette obligation peuvent varier selon les pays.<\/p>\n BC Academy propose une formation NIS2 Executive destin\u00e9e aux dirigeants et aux \u00e9quipes de management<\/strong><\/a>. Cette formation intra-entreprise aborde notamment la directive NIS2, la gouvernance, les risques de cybers\u00e9curit\u00e9 et le r\u00f4le du management. Chaque participant re\u00e7oit une attestation de participation \u00e0 l\u2019issue de la formation.<\/p>\n NIS2 pr\u00e9voit \u00e9galement que les \u00c9tats membres doivent encourager les entit\u00e9s essentielles et importantes \u00e0 proposer r\u00e9guli\u00e8rement des formations similaires en mati\u00e8re de cybers\u00e9curit\u00e9 \u00e0 leurs collaborateurs.<\/p>\n Les \u00c9tats membres de l\u2019Union europ\u00e9enne doivent d\u00e9signer des autorit\u00e9s nationales comp\u00e9tentes charg\u00e9es de contr\u00f4ler le respect de la l\u00e9gislation nationale transposant NIS2. L\u2019autorit\u00e9 comp\u00e9tente et les modalit\u00e9s concr\u00e8tes du contr\u00f4le peuvent varier en fonction du pays et du secteur.<\/p>\n La directive NIS2 \u00e9tablit une distinction entre le contr\u00f4le des entit\u00e9s essentielles<\/strong> et celui des entit\u00e9s importantes<\/strong>.<\/p>\n Pour les entit\u00e9s essentielles, les autorit\u00e9s comp\u00e9tentes doivent notamment disposer de pouvoirs leur permettant de :<\/p>\n Pour les entit\u00e9s importantes, le cadre europ\u00e9en pr\u00e9voit principalement un contr\u00f4le a posteriori. Des mesures de contr\u00f4le sont g\u00e9n\u00e9ralement prises lorsqu\u2019il existe des \u00e9l\u00e9ments de preuve, des indications ou des informations laissant penser que l\u2019entit\u00e9 ne respecte peut-\u00eatre pas ses obligations NIS2.<\/p>\n Les proc\u00e9dures et pouvoirs de contr\u00f4le d\u00e9taill\u00e9s sont d\u00e9finis dans la l\u00e9gislation nationale.<\/p>\n Lorsqu\u2019une entit\u00e9 essentielle ou importante ne respecte pas les exigences NIS2 applicables, les autorit\u00e9s comp\u00e9tentes peuvent recourir \u00e0 diff\u00e9rentes mesures d\u2019ex\u00e9cution. Selon la l\u00e9gislation nationale, celles-ci peuvent notamment comprendre :<\/p>\n Pour les entit\u00e9s essentielles, NIS2 pr\u00e9voit \u00e9galement des mesures suppl\u00e9mentaires lorsque les mesures d\u2019ex\u00e9cution pr\u00e9c\u00e9dentes se sont r\u00e9v\u00e9l\u00e9es inefficaces. Sous r\u00e9serve du droit national, une certification ou une autorisation peut par exemple \u00eatre temporairement suspendue. Les autorit\u00e9s comp\u00e9tentes peuvent \u00e9galement demander qu\u2019une personne exer\u00e7ant des responsabilit\u00e9s dirigeantes au niveau du directeur g\u00e9n\u00e9ral ou du repr\u00e9sentant l\u00e9gal soit temporairement emp\u00each\u00e9e d\u2019exercer des fonctions dirigeantes au sein de l\u2019entit\u00e9 essentielle concern\u00e9e.<\/p>\n Ces mesures temporaires ne s\u2019appliquent que jusqu\u2019\u00e0 ce que l\u2019entit\u00e9 ait rem\u00e9di\u00e9 aux manquements constat\u00e9s ou satisfait aux exigences de l\u2019autorit\u00e9 comp\u00e9tente.<\/p>\n La directive NIS2 \u00e9tablit des exigences minimales concernant les amendes administratives maximales que les \u00c9tats membres doivent pr\u00e9voir dans leur l\u00e9gislation nationale.<\/p>\n Ces seuils europ\u00e9ens concernent les amendes administratives impos\u00e9es \u00e0 l\u2019entit\u00e9<\/strong> pour des infractions portant notamment sur la gestion des risques de cybers\u00e9curit\u00e9 et la notification des incidents. Ils ne signifient pas qu\u2019un dirigeant individuel se voit automatiquement infliger personnellement une amende de ce montant.<\/p>\n Les pouvoirs d\u2019ex\u00e9cution, les sanctions et les r\u00e8gles de responsabilit\u00e9 d\u00e9finitifs sont d\u00e9termin\u00e9s par la l\u00e9gislation nationale de chaque \u00c9tat membre de l\u2019Union europ\u00e9enne.<\/p>\n NIS2 indique clairement que la cybers\u00e9curit\u00e9 ne rel\u00e8ve pas uniquement du service informatique ou de la fonction de s\u00e9curit\u00e9 de l\u2019information. L\u2019organe de direction doit participer activement \u00e0 la gestion des risques de cybers\u00e9curit\u00e9, approuver les mesures concern\u00e9es et superviser leur mise en \u0153uvre.<\/p>\n Les dirigeants doivent \u00e9galement acqu\u00e9rir des connaissances suffisantes pour assumer cette responsabilit\u00e9. L\u2019obligation de formation des membres des organes de direction confirme que la cybers\u00e9curit\u00e9 fait d\u00e9sormais partie int\u00e9grante de la gouvernance et de la gestion des risques de l\u2019organisation.<\/p>\n NIS2 \u00e9tant une directive europ\u00e9enne, les r\u00e8gles concr\u00e8tes en mati\u00e8re de responsabilit\u00e9, de contr\u00f4le et d\u2019ex\u00e9cution sont d\u00e9finies dans les l\u00e9gislations nationales. Les organisations actives dans plusieurs pays europ\u00e9ens doivent donc tenir compte \u00e0 la fois du cadre europ\u00e9en NIS2 et de la l\u00e9gislation nationale applicable dans chaque \u00c9tat membre concern\u00e9.<\/p>\n La mise en \u0153uvre nationale, les autorit\u00e9s comp\u00e9tentes, les \u00e9ch\u00e9ances et les proc\u00e9dures diff\u00e8rent selon les \u00c9tats membres. NIS2certification.eu pr\u00e9sente des informations par pays sur la mise en \u0153uvre de NIS2 en Europe.<\/p>\n![\"Responsabilit\u00e9](\"https:\/\/brandcompliance.com\/wp-content\/uploads\/2024\/05\/pexels-cqf-avocat-188397-613508_web2-300x266.jpg\")
<\/p>\nObligations NIS2 des dirigeants<\/h2>\n
\n
Les dirigeants peuvent-ils \u00eatre tenus responsables au titre de NIS2 ?<\/h3>\n
Formation NIS2 pour les dirigeants et le management<\/h3>\n
\n
Contr\u00f4le du respect de NIS2<\/h2>\n
\n
Mesures d\u2019ex\u00e9cution en cas de non-conformit\u00e9<\/h3>\n
\n
Amendes pr\u00e9vues par NIS2<\/h3>\n
\n
La responsabilit\u00e9 NIS2 exige une implication active de la direction<\/h2>\n