Cybersécurité : la responsabilité des dirigeants ne se délègue plus entièrement
La directive NIS2 attribue explicitement aux organes de direction l'approbation et la supervision des mesures de cybersécurité. Ce que cela change pour une structure à plusieurs sociétés.
Pendant longtemps, la cybersécurité est restée une affaire de spécialistes : le dirigeant signait un budget, l'équipe technique faisait le reste. La directive européenne NIS2 rompt avec ce schéma. Son article 20 confie aux organes de direction des entités concernées l'approbation des mesures de gestion des risques de cybersécurité et la supervision de leur mise en œuvre, avec une responsabilité en cas de manquement ; il prévoit aussi que les dirigeants suivent des formations pour comprendre les risques (UST, GlobalCert).
Un cadre qui ne concerne pas que les grandes entités
NIS2 s'applique à des entités essentielles et importantes dans de nombreux secteurs, y compris des entreprises de taille moyenne. La transposition varie d'un État membre à l'autre et prend du retard dans certains, dont la France. Mais l'esprit — la direction répond de la cybersécurité — s'impose aussi par ricochet : les donneurs d'ordre exigent de leurs prestataires des garanties qui reviennent, in fine, à des engagements de la direction.
Ce que « superviser » veut dire
Le dirigeant n'a pas à configurer un pare-feu. Il doit pouvoir répondre, avec des éléments probants, à des questions de gouvernance :
- Quels sont nos actifs et nos services critiques, et que perdrait-on s'ils étaient indisponibles une semaine ?
- Qui est responsable de la sécurité, et à qui rapporte-t-il ?
- Quelles mesures de base sont en place : authentification multifacteur, sauvegardes testées, correctifs, journalisation ?
- Comment un incident serait-il détecté, escaladé et notifié dans les délais ?
- Que font nos prestataires pour protéger nos données ?
Dans un groupe : un cadre commun, des mises en œuvre locales
Dans une structure à plusieurs sociétés, la tentation est soit de tout centraliser, au risque de déconnecter la décision du terrain, soit de tout laisser aux filiales, au risque de l'hétérogénéité. Une voie médiane consiste à fixer au niveau du groupe un socle minimal commun — mêmes mesures de base, mêmes délais d'escalade, même format de rapport — et à laisser chaque entité l'appliquer à ses propres outils. La direction du groupe n'a alors qu'à lire un tableau de bord comparable.
Pas de la conformité de façade
Un document signé n'est pas une protection. Les exigences portent sur l'effectivité : des sauvegardes restaurées, un exercice de crise réalisé, des accès revus. C'est cette différence entre l'affirmation et la preuve qui sépare une gouvernance réelle d'une gouvernance déclarative.
Cet article est une information générale, pas un avis juridique : l'applicabilité de NIS2 dépend du secteur, de la taille et du droit national de chaque entité.