NIS 2 : ce que les dirigeants doivent faire, et ce qu'ils risquent
Sous NIS 2, les dirigeants ont trois obligations : approuver les mesures de gestion des risques de cybersécurité de leur entité, superviser leur mise en œuvre et suivre une formation. L'article 20 de la directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex, consulté le 20 octobre 2026) ajoute qu'ils doivent pouvoir « être tenus responsables » si l'entité viole l'article 21. Pour les seules entités essentielles, la directive prévoit en dernier ressort l'interdiction temporaire d'exercer des fonctions de direction. En France, ces règles attendent encore la loi de transposition, qui n'était pas votée au 20 octobre 2026.
Ce que dit l'article 20 de la directive
Le paragraphe 1 vise les « organes de direction des entités essentielles et importantes » : ils approuvent les mesures prises pour se conformer à l'article 21, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Le paragraphe 2 impose à leurs membres de suivre une formation et invite les entités à proposer régulièrement une formation similaire au personnel. Pour les institutions publiques, les agents publics et les élus, le texte réserve le droit national de la responsabilité.
L'article 32, paragraphe 6, ajoute que la personne physique responsable d'une entité essentielle, ou son représentant légal, peut être tenue responsable des manquements à son devoir de veiller au respect de la directive ; l'article 33, paragraphe 5, étend cette règle aux entités importantes. L'article 32, paragraphe 5, point b, permet enfin d'interdire temporairement au directeur général ou au représentant légal d'une entité essentielle d'exercer des responsabilités dirigeantes, si les mesures d'exécution sont restées sans effet dans le délai fixé.
| Geste | Texte | Preuve à conserver |
|---|---|---|
| Approuver les mesures | Article 20, paragraphe 1 | Procès-verbal de décision, politique de sécurité signée, plan d'action daté |
| Superviser leur mise en œuvre | Article 20, paragraphe 1 | Ordres du jour et comptes rendus, tableau de bord, décisions sur les écarts |
| Se former | Article 20, paragraphe 2 | Programme, date, liste d'émargement ou attestation, par dirigeant |
Approuver les mesures : ce que cela implique concrètement
Approuver n'est pas parapher un document technique. La direction valide l'analyse des risques, la politique de sécurité des systèmes d'information, le plan d'action priorisé et les moyens associés, puis trace cette décision. La version de travail du Référentiel Cyber France (ReCyF) publiée par l'ANSSI sur MesServicesCyber (consultée le 20 octobre 2026) traduit cette exigence en mesures : le dirigeant exécutif est responsable de la sécurité numérique (mesure 2.A.1), il approuve la politique de sécurité (2.B.3), qui contient son engagement et doit être revue au minimum chaque année (2.B.2 et 2.B.4). L'ANSSI précise que ce référentiel est susceptible d'ajustements.
Se former : contenu et preuve
La directive fixe un objectif, pas une durée. Elle associe à ces formations le but d'acquérir des connaissances et des compétences « suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité ». Aucun nombre d'heures ni programme type ne figure dans le texte.
Le projet de loi adopté par le Sénat le 12 mars 2025 (texte n° 78, article 14, 1°) prévoit que les membres des organes de direction « ainsi que les personnes exposées aux risques » soient formés à la cybersécurité ; le texte de la commission spéciale de l'Assemblée nationale du 10 septembre 2025 (n° 1779) ajoute « en fonction de leur degré d'exposition au risque ». Une formation utile couvre la menace propre au secteur, les obligations de l'entité et la conduite à tenir en cas d'incident ; la preuve tient dans le programme, la date et l'attestation nominative.
Superviser : le point cyber en comité de direction
Un point régulier en comité de direction peut suivre cinq rubriques :
- l'avancement du plan d'action, actions en retard en tête ;
- les incidents de la période et le respect des délais de notification de 24 heures, 72 heures et un mois (article 23) ;
- les écarts acceptés, avec leur justification et leur date de réexamen ;
- les fournisseurs critiques et l'état de leurs engagements contractuels ;
- l'état de la transposition et des textes d'application.
Chaque point se conclut par une décision écrite : arbitrer, financer, relancer ou accepter un risque.
La responsabilité personnelle, telle que transposée
Au 20 octobre 2026, la France n'a pas de loi de transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, a été retiré de l'ordre du jour des séances des 7 et 9 octobre 2026 (Conférence des présidents du 6 octobre 2026) ; le relevé du 13 octobre 2026 ne fixe pas de nouvelle date. L'ANSSI indique que « la transposition de la directive NIS 2 en France est en cours ».
Sur le fond, le texte du Sénat (article 37, V) permet à la commission des sanctions, « en dernier recours », si le manquement persiste après une amende, d'interdire à un dirigeant d'entité essentielle d'exercer des responsabilités dirigeantes jusqu'à ce que le manquement soit corrigé, sauf dans les administrations. Le texte de la commission spéciale retient la même interdiction lorsque les mesures d'exécution des articles 25 et 31 sont inefficaces. Aucune des deux versions ne la prévoit pour une entité importante. Le détail des amendes est traité dans la comparaison entre entité essentielle et entité importante.
Le dossier de direction à préparer
- La note de désignation du responsable NIS 2, avec son périmètre et son temps alloué.
- Le procès-verbal d'approbation de la politique de sécurité, du plan d'action et du budget.
- Les attestations de formation de chaque membre de la direction.
- Les comptes rendus des points de supervision et les décisions prises.
- Le registre des incidents et des notifications, avec les horaires.
- Une note datée sur l'état de la transposition, mise à jour à chaque évolution.
Exemple fictif : un transporteur régional de 140 salariés, entité importante probable. Son procès-verbal du 12 janvier indique : « Le comité approuve la politique de sécurité version 1.0, un plan de 18 actions dont 6 prioritaires et un budget de 42 000 € ; il fixe la formation des cinq membres au 15 mars et inscrit un point cyber trimestriel. » Une page suffit à tracer les trois gestes. Le calendrier complet figure dans l'exemple de plan d'action NIS 2 sur 90 jours, la mesure des écarts dans l'auto-évaluation NIS 2 sur Excel.
Sources consultées
- Directive (UE) 2022/2555 du 14 décembre 2022, articles 20, 21, 23, 32 et 33, EUR-Lex, consultée le 20 octobre 2026.
- ANSSI, MesServicesCyber, page NIS 2 et version de travail du ReCyF, consultées le 20 octobre 2026.
- Sénat, texte adopté n° 78 du 12 mars 2025 ; Assemblée nationale, texte de la commission spéciale n° 1779 du 10 septembre 2025 ; relevés de la Conférence des présidents des 6 et 13 octobre 2026.
Questions fréquentes
Le dirigeant d'une entité importante risque-t-il une interdiction de gérer ?
Non : la directive réserve cette mesure aux entités essentielles (article 32, paragraphe 5, point b), comme les deux versions du projet de loi. Les dirigeants d'une entité importante doivent toutefois approuver, superviser et se former, et peuvent être tenus responsables selon le droit national (articles 20 et 33, paragraphe 5).
Combien d'heures de formation faut-il prévoir ?
Ni la directive ni le projet de loi ne fixent de durée. Le critère est la capacité à déterminer les risques et à évaluer leur gestion ; un programme écrit et une attestation par dirigeant le démontrent.
Peut-on déléguer ces obligations au responsable informatique ?
Le responsable informatique, le RSSI ou l'infogérant préparent les mesures et les indicateurs, mais l'approbation et la supervision appartiennent aux organes de direction. Le ReCyF prévoit d'ailleurs, pour les entités essentielles, que le dirigeant désigne au moins une personne qui le conseille (mesure 2.A.2).