Obligations de la direction au titre de NIS2 : ce qu'exige l'article 20 et quand la responsabilité des dirigeants peut être engagée

Selon l’article 20 de NIS2, l’organe de direction de chaque entité essentielle et importante doit approuver les mesures de cybersécurité de l’article 21 et superviser leur mise en œuvre, et ses membres doivent suivre une formation. L’organe de direction peut être tenu responsable des violations de l’article 21 par l’entité. Dans les entités essentielles, un directeur général peut, en dernier recours, se voir interdire temporairement d’exercer des fonctions de direction.

Ce guide couvre les trois devoirs, l’identité de l’organe de direction, la possibilité de déléguer l’approbation, les cas où la responsabilité des dirigeants peut être engagée, l’interdiction temporaire de gestion, les apports des lois nationales, un modèle de dossier pour l’organe de direction, les preuves de supervision et une liste de contrôle.

Devoir ou conséquence	Source	S’applique à	En pratique
Approuver les mesures de l’article 21	Art. 20, par. 1	Entités essentielles et importantes	Une décision consignée portant sur des documents et des versions nommés
Superviser leur mise en œuvre	Art. 20, par. 1	Entités essentielles et importantes	Rapports réguliers, questions, actions suivies
Les membres suivent une formation	Art. 20, par. 2	Entités essentielles et importantes	Un relevé de formation pour chaque membre
Responsabilité pour les violations de l’article 21	Art. 20, par. 1	Entités essentielles et importantes	Forme et conditions fixées par le droit national
Responsabilité des personnes qui doivent assurer la conformité	Art. 32, par. 6, et art. 33, par. 5	Entités essentielles et importantes	Forme et conditions fixées par le droit national
Interdiction temporaire d’exercer des fonctions de direction	Art. 32, par. 5, point b)	Entités essentielles uniquement, hors administration publique	Dernier recours après un délai non respecté
Amendes maximales d’au moins 10 millions d’euros ou 2 % (7 millions d’euros ou 1,4 %)	Art. 34	L’entité, pas ses dirigeants	Montants fixés par le droit national

Quelles sont les obligations des dirigeants selon NIS2 ?

L’article 20, paragraphe 1, tient en une phrase : « Les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l’article 21, supervisent sa mise en œuvre et puissent être tenus responsables de la violation dudit article par ces entités. »

Le considérant 137 en donne l’objectif : un niveau élevé de responsabilité pour les mesures de gestion des risques et les obligations de notification. Les devoirs sont identiques pour les entités essentielles et importantes ; la supervision et l’exécution diffèrent, comme l’explique NIS2 : entités essentielles et entités importantes.

Approuver les mesures de l’article 21

L’organe de direction approuve les mesures que l’entité prend pour se conformer à l’article 21 : les dix mesures minimales expliquées dans l’article 21 de NIS2. L’approbation n’est pas une simple formalité. La directive ne fixe pas de fréquence, mais un ensemble de politiques approuvé en 2024 et jamais rouvert en dit peu sur les mesures d’aujourd’hui. Une approche raisonnable consiste à réapprouver après tout changement important, et au moins une fois par an.

Superviser leur mise en œuvre

NIS2 ne définit pas « superviser ». En pratique, l’organe de direction reçoit des rapports réguliers, demande si les mesures fonctionnent et assure le suivi. L’article 21, paragraphe 2, point f), exige déjà des procédures pour évaluer l’efficacité des mesures ; leurs résultats en sont la source naturelle. Si l’équipe de sécurité signale des systèmes non corrigés ou des sauvegardes manquantes, agissez. Un organe de direction informé qui n’a rien fait est le cas le plus difficile à défendre.

Suivre une formation

L’article 20, paragraphe 2, impose aux États membres de veiller à ce que les membres des organes de direction des entités essentielles et importantes « soient tenus de suivre une formation ». Les États membres « encouragent » aussi les entités à offrir « régulièrement » une formation similaire aux membres de leur personnel. Le but : que ces personnes acquièrent « des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité ». NIS2 ne fixe ni programme, ni nombre d’heures, ni fréquence. Le contenu, le format et les traces à conserver sont traités dans les exigences de formation NIS2.

Qui est l’organe de direction ?

NIS2 ne le dit pas : aucune des 41 définitions de l’article 6 ne vise l’« organe de direction ». Le droit national et la forme de votre société en décident. Dans une société à structure moniste, il s’agit généralement du conseil d’administration ou des gérants. Dans une structure dualiste, vérifiez si votre droit national vise le directoire, le conseil de surveillance, ou les deux.

Pour les entités de l’administration publique, l’article 20, paragraphe 1, s’applique sans préjudice des règles nationales en matière de responsabilité des institutions publiques, des agents de la fonction publique et des responsables élus ou nommés.

L’organe de direction peut-il déléguer l’approbation NIS2 ?

La directive ne traite pas expressément de la délégation. Le texte répond pourtant à l’essentiel de la question.

1. Le devoir incombe à l’organe de direction. L’article 20, paragraphe 1, confie l’approbation et la supervision aux organes de direction, et le considérant 137 le répète. Rien dans l’article 20 ne permet à cet organe de transférer ce devoir.
2. Le travail peut être délégué. L’analyse des risques, les politiques, les contrôles et le reporting peuvent être confiés à un RSSI, à l’informatique ou à un prestataire externe. La directive ne dit pas qui fait le travail.
3. La responsabilité ne suit pas le travail. Rien dans l’article 20, paragraphe 1, ne laisse entendre que confier la mise en œuvre à un RSSI transfère la responsabilité de l’organe de direction.
4. Les comités restent la question ouverte. NIS2 ne tranche pas la question de savoir si un comité des risques ou d’audit peut approuver au nom de l’organe de direction. Le droit national et le droit des sociétés en décident.

Une approche raisonnable : un comité ou le RSSI prépare et recommande, et l’organe de direction au complet prend la décision et la consigne au procès-verbal.

Quand la responsabilité des dirigeants peut-elle être engagée au titre de NIS2 ?

La directive prévoit deux voies.

Article 20, paragraphe 1 : l’organe de direction. Les organes de direction peuvent « être tenus responsables de la violation dudit article par ces entités », l’article visé étant l’article 21. Cette voie couvre les mesures de gestion des risques, pas la notification des incidents au titre de l’article 23.

Article 32, paragraphe 6 : les personnes physiques. Toute personne physique responsable d’une entité essentielle ou agissant en qualité de représentant légal de celle-ci, sur la base du pouvoir de la représenter, de prendre des décisions en son nom ou d’exercer un contrôle sur elle, doit avoir le pouvoir d’en assurer la conformité. Les États membres doivent permettre de tenir ces personnes pour responsables de manquements à leurs obligations de veiller au respect de la directive. L’article 33, paragraphe 5, applique cette règle aux entités importantes. Cette voie couvre l’ensemble de la directive, y compris la notification des incidents.

Le droit national fixe la forme de la responsabilité des dirigeants (civile, administrative ou autre) et le degré de faute requis. « Peuvent être tenus responsables » exprime une possibilité, pas une conséquence automatique de chaque lacune.

Pour les mesures d’exécution, l’article 32, paragraphe 7, appliqué aux entités importantes par l’article 33, paragraphe 5, impose aux autorités de tenir compte de plusieurs éléments, dont la gravité, la durée, le préjudice causé, l’intention ou la négligence de l’auteur de la violation, les mesures d’atténuation et la coopération.

Les amendes de l’article 34 sont infligées à l’entité, pas à ses dirigeants : des montants maximaux d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et de 7 millions d’euros ou 1,4 % pour les entités importantes. Détails dans les amendes administratives NIS2.

Un PDG peut-il être interdit de gestion au titre de NIS2 ?

Oui, dans une entité essentielle, au terme d’une séquence prévue à l’article 32, paragraphe 5.

1. Les mesures antérieures prévues à l’article 32, paragraphe 4, points a) à d) et f), sont restées inefficaces : avertissements, instructions contraignantes, injonctions de mettre fin à la violation ou de se conformer aux articles 21 et 23, injonctions de mettre en œuvre les recommandations d’un audit.
2. L’autorité fixe un délai pour remédier aux insuffisances.
3. À l’expiration de ce délai, l’autorité peut suspendre temporairement, ou demander à l’organisme compétent de suspendre, une certification ou une autorisation concernant les services, et demander aux organismes, juridictions ou tribunaux compétents d’interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes au niveau de directeur général ou de représentant légal d’exercer des fonctions de direction dans cette entité.

L’interdiction ne dure que jusqu’à ce qu’il soit remédié aux insuffisances et ne s’applique pas aux entités de l’administration publique. Le considérant 133 en fait un dernier recours, à appliquer de manière proportionnée et dans le respect des droits de la défense. L’article 33 ne prévoit aucun pouvoir équivalent pour les entités importantes.

Qu’ajoutent les lois nationales ?

L’article 20 n’atteint les dirigeants que par l’intermédiaire du droit national. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour ne pas avoir notifié la transposition complète de NIS2 : vérifiez donc que votre loi est en vigueur avant de vous fier à ses détails.

Le Luxembourg est l’exemple d’une loi qui va plus loin. Selon l’article 13 de sa loi du 5 mai 2026, l’organe de direction approuve les mesures exigées par l’article 12, l’article relatif à la gestion des risques, les supervise et peut être tenu responsable des violations de l’article 12. Ses membres doivent suivre une formation de manière régulière, et les entités doivent offrir une formation régulière à leur personnel, ce que la directive se contente d’encourager. Plus de détails dans la loi luxembourgeoise NIS2.

Dans votre propre loi, cherchez la règle de responsabilité et les personnes qu’elle vise, une éventuelle fréquence de formation, et si la délégation est traitée.

Que doit contenir un dossier NIS2 pour l’organe de direction ?

De quoi permettre à l’organe de direction d’approuver et de superviser, pas seulement de prendre acte. Une structure à reprendre :

DOSSIER NIS2 POUR L'ORGANE DE DIRECTION
(directive (UE) 2022/2555, articles 20 et 21)
Entité : ...........  Date de réunion : ........
Catégorie : essentielle/importante

1. DÉCISIONS DEMANDÉES
   Approuver ou réapprouver : document, version, changements
   Acceptation de risque : ID du risque, propriétaire, motif, date de revue
   Ressources : demande de budget ou d'effectifs, et risque traité

2. ÉTAT DES MESURES DE L'ARTICLE 21, PAR. 2, POINTS A) À J)
   Par mesure : état, évolution depuis le dernier dossier, responsable
   Écarts ouverts : ID, gravité, échéance, en retard oui/non

3. EFFICACITÉ, ARTICLE 21, PAR. 2, POINT F)
   Couverture MFA, accès administratifs et à distance ..... %
   Correctifs critiques appliqués dans le délai interne ... %
   Dernier test de restauration : date, système, résultat
   Dernier exercice d'incident : date, constats, actions

4. INCIDENTS ET NOTIFICATION, ARTICLE 23
   Incidents importants depuis le dernier dossier : nombre
   Délais de 24 heures, 72 heures et un mois respectés : oui/non
   Quasi-incidents et enseignements

5. FOURNISSEURS, ARTICLE 21, PAR. 2, POINT D)
   Fournisseurs critiques : évalués, en retard, points ouverts

6. SUPERVISION
   Demandes de l'autorité, audits, constats, échéances

7. FORMATION, ARTICLE 20, PAR. 2
   Membres formés : nom, date, prestataire, contenu

8. ACTIONS DE LA DERNIÈRE RÉUNION
   Action, responsable, échéance, clôturée / ouverte avec motif

À quoi ressemblent les preuves de la supervision par l’organe de direction ?

Les articles 32 et 33 permettent à l’autorité de demander des politiques documentées et des preuves de leur mise en œuvre. Pour l’organe de direction, les preuves doivent montrer des décisions prises sur la base d’informations suffisantes, pas une simple présence.

• L’approbation. Un procès-verbal indiquant les documents et les versions approuvés, la date et les personnes présentes. « L’organe de direction a pris acte du point sur la sécurité » n’est pas une approbation.
• L’information. Le dossier tel qu’il était le jour de la réunion, conservé avec le procès-verbal.
• La remise en question. Les questions posées et les réponses données, consignées au procès-verbal.
• Le suivi. Des actions avec responsables et échéances, et le dossier suivant qui les montre clôturées ou expliquées.
• L’acceptation des risques. Les décisions d’accepter un risque, avec le motif et une date de revue.
• La formation. Un relevé pour chaque membre : date, prestataire, contenu.
• L’escalade. Quand un incident important est survenu, quand l’organe de direction en a été informé et ce qu’il a décidé.

Ce que l’article 20 laisse ouvert

L’article 20 dit approuver et superviser. Il ne dit pas sur quelles informations, à quelle fréquence, ni au regard de quelles mesures. Dans ce vide, l’organe de direction finit par superviser une diapositive en feux tricolores préparée par les personnes qu’il supervise. La diapositive peut indiquer que la MFA est déployée partout alors que le fournisseur d’identité contient encore des comptes administrateurs qui n’en disposent pas.

Combler ce vide est un travail technique. Les chiffres du dossier doivent provenir des systèmes qui font foi, à savoir le fournisseur d’identité, la gestion des terminaux, les comptes cloud et l’outil de tickets, avec une personne qui examine les exceptions avant qu’elles n’atteignent l’organe de direction. C’est ainsi que fonctionne la plateforme CloudSoul : des preuves collectées automatiquement, avec une revue humaine dans la boucle.

Il faut aussi quelqu’un qui porte le dossier et réponde aux questions de l’organe de direction. Dans une entreprise sans RSSI, c’est souvent un RSSI virtuel. Le programme complet se trouve sur la page conformité NIS2.

Liste de contrôle NIS2 pour l’organe de direction

• Confirmez quel organe est l’organe de direction au sens de votre droit national.
• Consignez l’approbation des mesures de l’article 21, en nommant les documents et les versions.
• Fixez un rythme de reporting et des critères d’escalade des incidents importants.
• Intégrez à chaque dossier des indicateurs d’efficacité issus des systèmes.
• Consignez questions, décisions, responsables et échéances, et clôturez-les à la réunion suivante.
• Enregistrez la formation de chaque membre : date, prestataire, contenu.
• Vérifiez votre droit national sur la responsabilité, la fréquence de formation et la délégation.
• Gardez dossiers et procès-verbaux prêts pour une demande de l’autorité.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 6, 20, 21, 32, 33 et 34, considérants 133 et 137, EUR-Lex. Texte des articles : article 20, article 32, article 33, article 34, considérants 131 à 144.
• Luxembourg, loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, articles 12 et 13, Legilux ; dossier parlementaire du projet de loi 8364, y compris le rapport de la Commission des Institutions du 13 avril 2026, Chambre des Députés.
• La Commission saisit la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour non-transposition de NIS2, 8 juillet 2026, Commission européenne.

Questions fréquentes