NIS2 et direction générale : obligations et responsabilité des dirigeants

Sommaire

NIS2 : quelles entreprises sont concernées ?

Ce que la directive exige de la direction

Approuver, superviser, se former : les devoirs des dirigeants

Sanctions : ce que risquent l'entité et ses dirigeants

Transposition en France : où en est le projet de loi ?

Organiser la gouvernance cyber au comité de direction

FAQ

Pour aller plus loin

NIS2 : quelles entreprises sont concernées ?

La directive NIS2 et les obligations qu'elle fait peser sur la direction visent plusieurs milliers d'entités en France, réparties sur 18 secteurs d'activité selon l'ANSSI. Il s'agit principalement d'entreprises de taille moyenne et grande, de collectivités et d'administrations.

Le classement repose sur 2 catégories, définies par l'effectif et les données financières de l'entité.

Les entités concernées devront s'enregistrer auprès de l'ANSSI, qui propose déjà un service de pré-enregistrement. Pour un DSI, qualifier son entreprise constitue donc la première étape, car cette qualification détermine le plafond de sanction applicable.

Qualifier son entité au regard de NIS2 suppose d'analyser son secteur, sa taille et ses activités.
Consulter un avocat en cybersécurité

Ce que la directive exige de la direction

L'article 20 de la directive (UE) 2022/2555, publiée au Journal officiel de l'UE en décembre 2022, place la cybersécurité sous la responsabilité des organes de direction. Ce terme désigne les instances qui dirigent l'entité, comme le dirigeant exécutif ou le conseil d'administration.

Le référentiel ReCyF de l'ANSSI traduit cette logique. Sa mesure 2.A.1-EE pose que le dirigeant exécutif est responsable de la sécurité numérique de son entité : il désigne au moins un conseiller, approuve la politique de sécurité des systèmes d'information (PSSI) et participe à la gouvernance des risques. La PSSI est le document qui fixe les règles de sécurité applicables à toute l'organisation. Ce référentiel, partagé le 17 mars 2026, reste toutefois un document de travail non contraignant par défaut.

Approuver, superviser, se former : les devoirs des dirigeants

Les dirigeants ont 3 devoirs distincts au titre de NIS2, et chacun se traduit pour le DSI par un livrable à préparer.

La formation ne suffit pas à elle seule. Le rapport n° 393 (2024-2025) de la commission spéciale du Sénat, déposé le 4 mars 2025, a jugé que la seule formation des organes de direction constituait une sous-transposition de l'article 20, c'est-à-dire une reprise incomplète de la directive. Un amendement a donc réécrit le texte pour que la direction approuve et supervise aussi les mesures de sécurité.

Documenter l'approbation et la supervision des mesures cyber conditionne l'appréciation de la responsabilité des dirigeants.
Échanger avec un avocat spécialisé en cybersécurité

Sanctions : ce que risquent l'entité et ses dirigeants

La directive prévoit des amendes plafonnées en pourcentage du chiffre d'affaires mondial : 2 % pour une entité essentielle et 1,4 % pour une entité importante. Ce mode de calcul indexe la sanction sur l'activité mondiale de l'entreprise, et non sur son seul chiffre d'affaires réalisé en France.

Pour les dirigeants, l'article 20 prévoit qu'ils peuvent être tenus responsables des manquements de l'entité à ses obligations de gestion des risques. Les modalités de cette mise en cause en droit français, notamment d'éventuelles sanctions personnelles, dépendront de la loi de transposition, qui n'est pas encore adoptée.

Le coût de la conformité se compare à ce risque. Selon les estimations de l'ANSSI reprises par le Sénat, il atteint 450 000 à 880 000 euros par entité essentielle et 100 000 à 200 000 euros par entité importante.

Transposition en France : où en est le projet de loi ?

En octobre 2026, la France n'a pas achevé la transposition de NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'est pas définitivement adopté, car son examen à l'Assemblée nationale a été reporté sans nouvelle date.

Ce report ne gèle pas le contenu des obligations. D'une part, les devoirs fixés par l'article 20 sont connus depuis 2022. D'autre part, la commission spéciale du Sénat a souhaité un délai de mise en conformité de 3 ans après la promulgation, délai qui dépendra du texte final.

Suivre l'évolution du projet de loi permet d'ajuster le calendrier de conformité de l'entreprise.
Être accompagné par un avocat en cybersécurité

Organiser la gouvernance cyber au comité de direction

Embarquer la direction générale dans NIS2 suppose de transformer des sujets techniques en décisions que le comité de direction peut arbitrer. Le DSI structure pour cela un cycle en 5 étapes :

1. Cartographier : qualifier l'entité, recenser les systèmes critiques et les prestataires.
2. Désigner : nommer au moins un conseiller en sécurité numérique, comme le prévoit le ReCyF.
3. Faire approuver : soumettre la PSSI et le plan d'action au dirigeant exécutif.
4. Superviser : inscrire la cybersécurité à l'ordre du jour du comité de direction à fréquence fixe.
5. Former : organiser une session pour chaque membre de la direction.

Les contrats informatiques relèvent aussi de cette gouvernance. Les clauses de sécurité informatique imposées aux prestataires, comme la notification d'incident ou le droit d'audit, transposent dans la chaîne de sous-traitance les mesures approuvées par la direction.

FAQ

La directive NIS2 s'applique-t-elle aux PME ?

Oui, dès 50 salariés ou dès que le chiffre d'affaires et le bilan dépassent 10 M€, si l'entreprise relève de l'un des 18 secteurs visés. Elle est alors qualifiée d'entité importante.

Le DSI peut-il approuver seul les mesures de cybersécurité ?

Non, l'article 20 confie l'approbation aux organes de direction. Le DSI prépare et présente les mesures, mais leur validation relève du dirigeant exécutif ou de l'instance dirigeante.

Quel est le montant maximal des amendes NIS2 ?

La directive plafonne les amendes à 2 % du chiffre d'affaires mondial pour une entité essentielle et à 1,4 % pour une entité importante. Les règles applicables en France seront fixées par la loi de transposition.

La loi française de transposition est-elle en vigueur ?

Non, en octobre 2026, le projet de loi n'est pas définitivement adopté. Son examen à l'Assemblée nationale a été reporté sans nouvelle date.

La formation des dirigeants est-elle obligatoire ?

Oui, l'article 20 impose aux membres des organes de direction de suivre une formation. Le Sénat a toutefois rappelé qu'elle ne suffit pas : la direction doit aussi approuver et superviser les mesures.

Pour aller plus loin

Directive NIS 2 : entités concernées, mesures et sanctions - ANSSI MesServicesCyber

Quelles sont les exigences en matière de cybersécurité pour les entités régulées NIS 2 ? - ANSSI

Rapport n° 393 sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité - Sénat

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.