NIS2 : ce que la directive exige de la direction générale

La directive NIS2 change la place de la cybersécurité dans l’entreprise. Elle ne s’adresse plus seulement aux équipes techniques : elle désigne nommément les organes de direction comme responsables des mesures de gestion des risques. Pour les dirigeants des entités essentielles et importantes, c’est une obligation personnelle, pas une délégation au RSSI.

Ce que l’article 20 impose aux dirigeants

L’article 20 de la directive fixe trois obligations aux organes de direction :

• approuver les mesures de gestion des risques en matière de cybersécurité prises par l’entité ;
• superviser leur mise en œuvre ;
• suivre une formation, pour être en mesure d’identifier les risques et d’évaluer les pratiques de gestion des risques et leur impact sur les services de l’entité. Les États membres sont aussi encouragés à faire former régulièrement l’ensemble du personnel.

La directive prévoit que les membres des organes de direction peuvent être tenus pour responsables des manquements à ces obligations. La cybersécurité devient un sujet de gouvernance au même titre que les risques financiers.

Les dix mesures à approuver

L’article 21 fixe le socle des mesures que la direction doit approuver, selon une approche fondée sur les risques :

1. l’analyse des risques et les politiques de sécurité des systèmes d’information ;
2. la gestion des incidents ;
3. la continuité des activités, les sauvegardes et la gestion de crise ;
4. la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs ;
5. la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités ;
6. des politiques pour évaluer l’efficacité des mesures ;
7. les pratiques de base en matière de cyberhygiène et la formation ;
8. la cryptographie et, le cas échéant, le chiffrement ;
9. la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
10. l’authentification multifacteur et les communications sécurisées.

C’est sur cette liste que la direction devra pouvoir rendre des comptes : pas sur des intentions, mais sur des mesures en place et dont l’efficacité est évaluée.

Notifier un incident : 24 heures, 72 heures, un mois

L’article 23 encadre la déclaration des incidents importants auprès de l’autorité ou du CSIRT :

• une alerte précoce dans les 24 heures après en avoir eu connaissance ;
• une notification d’incident dans les 72 heures ;
• un rapport final au plus tard un mois après la notification.

Ces délais supposent une chaîne de décision prête à l’avance : qui qualifie l’incident, qui valide la notification, qui parle à l’autorité. C’est une décision de direction, à préparer avant la crise.

Des sanctions à l’échelle du groupe

L’article 34 prévoit des amendes administratives d’un montant maximal d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

En France : agir sans attendre la loi

La France n’a pas encore transposé NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l’Assemblée nationale le 10 septembre 2025. Plusieurs fois reporté, son examen en séance publique est inscrit à l’ordre du jour de l’Assemblée nationale à partir du 9 novembre 2026.

L’ANSSI a néanmoins publié le Référentiel Cyber France (ReCyF), qui décrit les objectifs de sécurité attendus des entités concernées. Il donne dès maintenant une base concrète pour mesurer l’écart entre ce que l’entreprise déclare et ce qu’elle peut prouver.

Ce qu’il faut retenir

NIS2 fait de la cybersécurité une responsabilité de la direction. Les dirigeants doivent pouvoir montrer qu’ils ont approuvé des mesures adaptées, qu’ils en suivent la mise en œuvre et qu’ils se sont formés. Commencer par mesurer l’écart entre les exigences applicables et la réalité opérationnelle, puis donner à la direction un cap qu’elle peut défendre devant l’autorité : c’est l’objet de Trusted Assessment.