Qu’exige la NIS2 de la direction ?<\/h2>\n
Les obligations de la direction figurent \u00e0 l’article 20 de la directive NIS2<\/a>, consacr\u00e9 \u00e0 la gouvernance. Elles se r\u00e9sument \u00e0 quatre devoirs qui p\u00e8sent sur l’organe de direction et qu’il ne peut pas reporter sur le responsable informatique.<\/p>\n La direction doit approuver les mesures de cybers\u00e9curit\u00e9 que l’entreprise met en place pour respecter l’article 21. Cet article fixe un socle commun<\/strong> qui comprend notamment les points suivants.<\/p>\n Approuver suppose de conna\u00eetre ces mesures et de les valider explicitement, par une d\u00e9cision dont il reste une trace. Signer un document sans l’avoir lu ne suffit pas<\/strong>. Pour passer en revue l’ensemble des exigences, vous pouvez consulter notre checklist de la directive NIS2<\/a>, qui les reprend une par une.<\/p>\n L’approbation n’est qu’un point de d\u00e9part. La NIS2 demande aussi \u00e0 la direction de v\u00e9rifier que ces mesures sont r\u00e9ellement appliqu\u00e9es<\/strong>.<\/p>\n Les dirigeants n’ont pas pour autant \u00e0 se plonger dans les d\u00e9tails techniques. On attend d’eux qu’ils soient tenus inform\u00e9s r\u00e9guli\u00e8rement de l’\u00e9tat de la s\u00e9curit\u00e9, qu’ils posent des questions quand quelque chose ne colle pas et qu’ils suivent les failles identifi\u00e9es jusqu’\u00e0 leur correction. Si l’\u00e9quipe IT signale qu’un tiers des ordinateurs portables n’est pas chiffr\u00e9, la direction doit le savoir et d\u00e9cider de la suite \u00e0 donner.<\/p>\n La directive pr\u00e9voit que les organes de direction puissent \u00eatre tenus responsables lorsque l’entit\u00e9 ne respecte pas les obligations de l’article 21<\/strong>. C’est le point qui inqui\u00e8te le plus les dirigeants, car il ouvre la voie \u00e0 une responsabilit\u00e9 personnelle. Vous trouverez le d\u00e9tail un peu plus bas, dans la partie qui lui est consacr\u00e9e.<\/p>\n L’article 20.2 impose aux membres de l’organe de direction de suivre une formation en cybers\u00e9curit\u00e9<\/strong>. L’objectif est qu’ils aient des connaissances suffisantes pour rep\u00e9rer les risques, \u00e9valuer les pratiques de gestion des risques et mesurer leur impact sur les services de l’entreprise.<\/p>\n La directive n’exige ni formation certifiante ni nombre d’heures minimum. L’essentiel est que la formation existe, qu’elle soit renouvel\u00e9e r\u00e9guli\u00e8rement et qu’elle soit trac\u00e9e. Le texte encourage \u00e9galement les entreprises \u00e0 proposer p\u00e9riodiquement une formation similaire \u00e0 l’ensemble des salari\u00e9s.<\/p>\n Ces obligations ne s’appliquent qu’\u00e0 la direction des entreprises qui entrent dans le champ de la NIS2. Il s’agit en g\u00e9n\u00e9ral d’entreprises moyennes et grandes appartenant aux secteurs list\u00e9s dans les annexes I et II de la directive<\/strong>, m\u00eame si certaines entit\u00e9s sont concern\u00e9es quelle que soit leur taille.<\/p>\n En cas de doute sur votre situation, notre article sur les entreprises concern\u00e9es par la directive NIS2 en France<\/a> vous aidera \u00e0 y voir plus clair.<\/p>\n La directive parle d’organes de direction sans entrer dans le d\u00e9tail de chaque forme de soci\u00e9t\u00e9. En France, cela renvoie selon les cas au conseil d’administration ou au directoire<\/strong> d’une SA, au pr\u00e9sident<\/strong> d’une SAS ou au g\u00e9rant<\/strong> d’une SARL.<\/p>\n En mati\u00e8re de sanctions, le texte vise aussi les personnes physiques exer\u00e7ant des fonctions de direction au niveau de directeur g\u00e9n\u00e9ral ou de repr\u00e9sentant l\u00e9gal<\/strong>. Les directeurs g\u00e9n\u00e9raux, les directeurs g\u00e9n\u00e9raux d\u00e9l\u00e9gu\u00e9s et plus largement les cadres dirigeants dot\u00e9s de pouvoirs ex\u00e9cutifs ont donc tout int\u00e9r\u00eat \u00e0 se sentir concern\u00e9s. C’est la loi fran\u00e7aise de transposition qui pr\u00e9cisera, au bout du compte, qui r\u00e9pond de quoi.<\/p>\n La NIS2 fait la distinction entre entit\u00e9s essentielles et entit\u00e9s importantes<\/a>. Les obligations de la direction sont les m\u00eames dans les deux cas, mais la supervision et les sanctions diff\u00e8rent.<\/p>\n Les entit\u00e9s essentielles sont soumises \u00e0 une supervision ex ante<\/strong>, avec des inspections et des audits m\u00eame en l’absence d’incident. Les entit\u00e9s importantes rel\u00e8vent d’une supervision ex post<\/strong>, qui se d\u00e9clenche en g\u00e9n\u00e9ral apr\u00e8s un incident ou un signalement. Par ailleurs, la suspension temporaire d’un dirigeant n’est pr\u00e9vue que pour les entit\u00e9s essentielles.<\/p>\n Oui et non. La direction peut d\u00e9l\u00e9guer l’ex\u00e9cution, mais elle en garde la responsabilit\u00e9. C’est l’id\u00e9e \u00e0 retenir en priorit\u00e9, et c’est aussi celle qui pr\u00eate le plus \u00e0 confusion.<\/p>\n La direction n’a pas \u00e0 prendre en charge le travail technique<\/strong>. Toute la partie op\u00e9rationnelle peut \u00eatre confi\u00e9e au RSSI, \u00e0 l’\u00e9quipe IT ou \u00e0 un prestataire externe, qui ont les comp\u00e9tences pour s’en occuper.<\/p>\n L’approbation des mesures, la supervision de leur mise en \u0153uvre et sa propre formation restent du ressort de la direction. Il en va de m\u00eame pour les d\u00e9cisions de fond, comme les risques que l’entreprise accepte, le budget allou\u00e9 \u00e0 la s\u00e9curit\u00e9 ou l’ordre dans lequel les failles sont corrig\u00e9es.<\/p>\n Confier l’ex\u00e9cution au responsable de la s\u00e9curit\u00e9 est tout \u00e0 fait compatible avec la NIS2. Ce que la directive n’admet pas, c’est une direction qui se d\u00e9sint\u00e9resse du sujet<\/strong>.<\/p>\n Avec la NIS2, la cybers\u00e9curit\u00e9 n’est plus uniquement le probl\u00e8me de l’entreprise. Quand les choses sont mal faites, ceux qui la dirigent peuvent eux aussi en subir les cons\u00e9quences.<\/p>\n Un dirigeant n’est pas mis en cause du seul fait que son entreprise subit une cyberattaque. Il l’est lorsqu’il n’a pas jou\u00e9 son r\u00f4le<\/strong>, c’est-\u00e0-dire lorsqu’il n’a pas approuv\u00e9 les mesures de s\u00e9curit\u00e9, n’a pas v\u00e9rifi\u00e9 leur application ou a ignor\u00e9 les probl\u00e8mes qui lui ont \u00e9t\u00e9 remont\u00e9s.<\/p>\n D’o\u00f9 l’importance de pouvoir prouver que la direction a suivi le sujet de pr\u00e8s.<\/p>\n Les cons\u00e9quences d\u00e9pendent du type d’entit\u00e9 et de la gravit\u00e9 du manquement.<\/p>\n Pour aller plus loin, consultez notre article sur les sanctions en cas de non-respect de la directive NIS2<\/a>.<\/p>\n La France n’a toujours pas adopt\u00e9 la loi qui transpose la NIS2 dans son droit national<\/strong>. Le projet de loi relatif \u00e0 la r\u00e9silience des infrastructures critiques et au renforcement de la cybers\u00e9curit\u00e9, plus connu sous le nom de loi R\u00e9silience, a \u00e9t\u00e9 vot\u00e9 par le S\u00e9nat le 12 mars 2025. Son examen en s\u00e9ance \u00e0 l’Assembl\u00e9e nationale, pr\u00e9vu d\u00e9but octobre 2026, a de nouveau \u00e9t\u00e9 report\u00e9 sans qu’une nouvelle date soit fix\u00e9e. Vous pouvez suivre l’\u00e9volution du calendrier dans notre article sur l’entr\u00e9e en vigueur de la directive NIS2 en France<\/a>.<\/p>\n Sur la gouvernance, les s\u00e9nateurs ont estim\u00e9 que la version initiale du texte transposait trop timidement l’article 20 et ont renforc\u00e9 les dispositions sur le pilotage de la cybers\u00e9curit\u00e9 et la formation des dirigeants. La r\u00e9daction finale peut encore \u00e9voluer d’ici l’adoption d\u00e9finitive, et c’est l’ANSSI qui sera charg\u00e9e de contr\u00f4ler le respect de ces obligations.<\/p>\n En attendant, les dirigeants ont d\u00e9j\u00e0 des obligations en la mati\u00e8re. Le Code de commerce pr\u00e9voit qu’ils peuvent engager leur responsabilit\u00e9 pour faute de gestion. Si une cyberattaque cause un pr\u00e9judice et qu’il est \u00e9tabli que la direction a ignor\u00e9 les risques ou les alertes de ses \u00e9quipes, elle peut \u00eatre amen\u00e9e \u00e0 en r\u00e9pondre, que l’entreprise soit soumise \u00e0 la NIS2 ou non.<\/p>\n Le plus simple pour respecter l’article 20 est de faire du suivi de la cybers\u00e9curit\u00e9 une routine de gouvernance<\/strong>, au m\u00eame titre que l’examen des comptes ou des risques financiers. Voici les \u00e9tapes de base.<\/p>\n D\u00e9finissez qui s’occupe de la s\u00e9curit\u00e9 au quotidien<\/strong>, avec quelle autorit\u00e9 et quels moyens. Il peut s’agir d’un RSSI, d’un responsable informatique ou d’un prestataire externe, mais son r\u00f4le et la mani\u00e8re dont il rend compte \u00e0 la direction doivent \u00eatre formalis\u00e9s.<\/p>\n Beaucoup d’entreprises mettent aussi en place un comit\u00e9 cybers\u00e9curit\u00e9<\/strong> ou inscrivent le sujet de fa\u00e7on permanente \u00e0 l’ordre du jour du conseil.<\/p>\n Pour superviser, la direction a besoin d’informations claires et r\u00e9guli\u00e8res. Le plus pratique est de demander un reporting trimestriel, sans jargon technique, avec quelques indicateurs simples comme ceux-ci.<\/p>\n Pour que ces indicateurs soient fiables, l’entreprise doit d’abord savoir ce qu’elle poss\u00e8de. C’est tout l’int\u00e9r\u00eat de l’inventaire des actifs dans la NIS2<\/a>, sur lequel repose la quasi-totalit\u00e9 des reportings de s\u00e9curit\u00e9.<\/p>\n Les mesures de s\u00e9curit\u00e9 demandent du budget, du temps et des personnes. Si la direction les approuve sans leur donner de moyens, le probl\u00e8me reste le sien.<\/p>\n Bonne nouvelle, la NIS2 n’exige pas la m\u00eame chose de toutes les entreprises. Les mesures doivent \u00eatre adapt\u00e9es \u00e0 la taille et \u00e0 l’exposition aux risques de chacune, et une PME n’a donc pas \u00e0 investir comme une banque. L’important est que la direction d\u00e9termine ce qui est raisonnable et le consigne par \u00e9crit.<\/p>\n Cela vaut aussi pour vos fournisseurs<\/a> et pour les applications SaaS utilis\u00e9es par vos \u00e9quipes<\/a>, qui font partie int\u00e9grante des risques de l’entreprise.<\/p>\n En cas de contr\u00f4le, affirmer que la direction a supervis\u00e9 ne suffit pas. Il faut pouvoir le prouver.<\/p>\n Mieux vaut donc conserver tout ce qui t\u00e9moigne de cette supervision, \u00e0 savoir les proc\u00e8s-verbaux approuvant les mesures, les reportings examin\u00e9s par la direction, les d\u00e9cisions sur les risques et le budget, ainsi que les attestations de formation de ses membres. Avec ces documents, l’autorit\u00e9 de contr\u00f4le peut constater sans difficult\u00e9 que la direction a fait sa part.<\/p>\n C’est d’ailleurs la m\u00eame documentation qui vous sera demand\u00e9e lors d’un audit NIS2<\/a>. Plus t\u00f4t vous commencerez \u00e0 la constituer, moins vous aurez de travail le moment venu.<\/p>\n La direction ne peut bien superviser que si elle dispose de donn\u00e9es claires et \u00e0 jour. Or, dans beaucoup d’entreprises, ces informations sont \u00e9parpill\u00e9es entre des tableurs, des e-mails et diff\u00e9rents outils, et les rassembler prend des heures.<\/p>\n Factorial IT<\/a> r\u00e9unit appareils, acc\u00e8s et applications sur une seule plateforme connect\u00e9e aux RH. L’\u00e9quipe IT a ainsi toujours sous la main l’\u00e9tat r\u00e9el de la s\u00e9curit\u00e9 et peut le partager avec la direction sans avoir \u00e0 le reconstituer \u00e0 chaque fois.<\/p>\n Bien entendu, l’outil fournit les donn\u00e9es et les preuves, mais approuver les mesures, d\u00e9cider des moyens et consigner les d\u00e9cisions dans les proc\u00e8s-verbaux reste le travail de la direction. Pour voir l’ensemble des exigences couvertes, d\u00e9couvrez comment Factorial IT aide \u00e0 se conformer \u00e0 la NIS2<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"Approuver les mesures de gestion des risques<\/h3>\n
\n
Superviser la mise en \u0153uvre des mesures<\/h3>\n
R\u00e9pondre des manquements<\/h3>\n
Se former \u00e0 la cybers\u00e9curit\u00e9<\/h3>\n
Quels dirigeants sont concern\u00e9s ?<\/h2>\n
Qui fait partie de l’organe de direction ?<\/h3>\n
Entit\u00e9s essentielles et entit\u00e9s importantes<\/h3>\n
La direction peut-elle d\u00e9l\u00e9guer la NIS2 ?<\/h2>\n
Ce qui peut \u00eatre d\u00e9l\u00e9gu\u00e9<\/h3>\n
\n
Ce qui ne peut pas l’\u00eatre<\/h3>\n
Quelle responsabilit\u00e9 personnelle pour les dirigeants ?<\/h2>\n
Quand un dirigeant engage-t-il sa responsabilit\u00e9 ?<\/h3>\n
Que risque-t-il ?<\/h3>\n
\n
NIS2 et direction en France<\/h2>\n
Comment se conformer \u00e0 la NIS2 au niveau de la direction ?<\/h2>\n
1. Attribuer les responsabilit\u00e9s par \u00e9crit<\/h3>\n
2. \u00catre inform\u00e9 r\u00e9guli\u00e8rement des risques et des incidents<\/h3>\n
\n
3. Allouer des moyens proportionn\u00e9s au risque<\/h3>\n
4. Garder une trace de la supervision<\/h3>\n
Comment superviser la cybers\u00e9curit\u00e9 avec Factorial IT ?<\/h2>\n
\n
![\"gestion](\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png\")
<\/p>\n\n
![\"contr\u00f4les](\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\")
<\/p>\n\n