La direction est-elle personnellement responsable en vertu de la directive NIS2 ?
La directive NIS2 ne régit pas seulement ce qu'une organisation doit faire sur le plan technique et organisationnel, mais s'adresse également à la direction elle-même. La directive demande aux dirigeants d'approuver les mesures de gestion des risques, de surveiller leur mise en œuvre et de se former à ce sujet. C'est un rôle différent de celui du département informatique ou d'un fournisseur externe, et ce rôle ne peut pas être délégué.
Le fait que cela entraîne également une responsabilité personnelle d'un dirigeant individuel dépend de la loi nationale qui transpose la directive et du droit des sociétés plus large du pays dans lequel l'organisation est établie. Aux Pays-Bas, cela se fait par la loi sur la cybersécurité et les règles existantes concernant la responsabilité des dirigeants en cas de mauvaise gestion. Ce qui y est précisément établi et ce qui est encore en développement, il est préférable d'en discuter avec un avocat ; cet article décrit les grandes lignes, non votre situation individuelle.
Ce que la directive demande à la direction
L'obligation de diligence découlant de NIS2 comporte deux niveaux qui se complètent mutuellement. Le premier niveau est l'organisation : les dix mesures qui constituent le dossier de cybersécurité, du contrôle d'accès au traitement des incidents. Le deuxième niveau est la direction : elle doit connaître ces mesures, les approuver et les suivre. Cela ne signifie pas qu'un dirigeant doit lui-même comprendre les détails techniques, mais plutôt qu'il ou elle sait quels risques l'organisation court, quels choix ont été faits à ce sujet et si ces choix sont respectés. Pour ceux qui veulent savoir précisément quelles mesures cela concerne, il y a un aperçu dans l'aperçu de tous les sujets NIS2.
Pourquoi cela ne peut pas être externalisé
Il est tout à fait courant qu'une organisation confie l'exécution des mesures de sécurité à un fournisseur informatique, un prestataire de services gérés ou un responsable de la sécurité interne. C'est permis, et pour de nombreuses organisations du secteur des PME, c'est aussi le seul chemin réaliste. Mais la directive fait une distinction entre exécuter et être responsable. Un fournisseur peut gérer un pare-feu, mettre en place une politique de mot de passe ou exécuter une sauvegarde ; la direction reste celle qui doit pouvoir démontrer qu'elle sait ce qui se passe et qu'elle l'a consciemment choisi. Un contrat avec un fournisseur régit l'exécution, non l'implication managériale que la directive exige.
Cela touche également au thème de la chaîne d'approvisionnement. Une organisation qui relève elle-même de NIS2 doit surveiller les risques que les fournisseurs apportent — c'est pourquoi les entreprises du secteur des PME reçoivent des questionnaires de sécurité de leurs donneurs d'ordres. La même logique s'applique à l'interne : la direction surveille ce que l'organisation elle-même fait, même si le travail réel est effectué ailleurs.
Ce que la surveillance signifie en pratique
La surveillance n'est pas une question de signature unique d'un document. La directive parle d'approbation des mesures et de formation, ce qui suggère qu'il s'agit d'un processus récurrent : examiner périodiquement si les mesures sont toujours appropriées, si elles ont été mises en œuvre, et s'il y a quelque chose qui a changé et qui nécessite un ajustement. Pour un dirigeant sans formation technique, la forme la plus praticable est généralement un registre permanent : quelles mesures y a-t-il, quel est le statut, qui est le propriétaire, et quelle preuve y correspond. Sans un tel registre, il est difficile de démontrer la surveillance, même si elle s'est réellement produite.
Ce que nous savons et ce que nous ne savons pas avec certitude
La directive elle-même décrit le rôle de la direction au niveau européen ; la façon dont cela se décline précisément dans le droit de la responsabilité varie selon le pays, et la législation nationale n'est pas définitive partout en même temps. Les autorités de surveillance publient à ce sujet leurs propres interprétations, et ces interprétations peuvent changer. Nous suivons cela par pays et par source, avec la date à laquelle nous avons vu une publication ; la façon dont cette formation des sources fonctionne précisément est expliquée sur la page sur la façon dont nous conservons les sources. Pour une conclusion sur la responsabilité personnelle d'un administrateur spécifique dans une organisation spécifique, un juriste ou l'autorité de surveillance compétente reste le bon interlocuteur.
Ce que vous pouvez documenter
Même sans certitude juridique complète concernant la responsabilité personnelle, il y a du travail pratique à faire : documenter quelles mesures existent, qui les gère et quand le conseil d'administration les a examinées pour la dernière fois. C'est précisément à quoi sert le dossier de cybersécurité — un registre vivant plutôt qu'un rapport unique. Si vous souhaitez d'abord savoir si votre organisation relève elle-même de l'obligation de diligence ou est touchée par la chaîne d'approvisionnement, alors le contrôle NIS2 gratuit vous en donne une première indication en quelques questions, avec une explication du pourquoi.
Commencez là où vous êtes : consultez le contrôle NIS2 gratuit ou parcourez la base de connaissances pour voir quels sujets sont pertinents pour votre organisation.