NIS 2 : la cybersécurité s’impose comme une responsabilité stratégique des dirigeants

La directive européenne NIS 2 marque un tournant dans la gestion des risques cyber en recentrant leur supervision au niveau des instances dirigeantes. Cette réforme ne se limite pas à une évolution technique : elle transforme la cybersécurité en un enjeu de gouvernance stratégique, impliquant directement la direction générale et les comités exécutifs.

Une gouvernance cyber désormais pilotée par les dirigeants

L’article 20 de la directive NIS 2 impose aux organes de direction des obligations claires : approbation des mesures de gestion des risques cyber, supervision de leur déploiement et formation des dirigeants pour appréhender ces risques. La cybersécurité n’est plus un sujet technique confié aux seuls DSI ou RSSI, mais un levier de pilotage exigeant une implication active des décideurs.

Une responsabilité encadrée, loin des caricatures

La responsabilité personnelle des dirigeants ne saurait être systématique ni réduite à l’échec d’une cyberattaque. L’analyse portera sur la rigueur de la gouvernance mise en place : préparation de l’organisation, allocation des moyens, prise de décision, conservation des preuves et respect des obligations de notification. L’enjeu réside dans la capacité à démontrer une démarche structurée, adaptée aux risques identifiés.

Des exigences opérationnelles renforcées

L’article 21 de la directive détaille les mesures concrètes à déployer : analyse des risques, politique de sécurité des systèmes d’information, gestion des incidents, continuité d’activité, sauvegardes et reprise après sinistre. La sécurité de la chaîne d’approvisionnement devient un axe prioritaire, avec des obligations strictes envers les fournisseurs et prestataires numériques : audits, gestion des vulnérabilités, réversibilité et production de preuves.

La conformité ne peut se limiter à une documentation formelle. Elle doit reposer sur des dispositifs opérationnels, des indicateurs de performance, des contrôles réguliers et une capacité avérée de prévention, détection et réaction.

Anticiper la transposition française

Bien que le projet de loi français soit encore en discussion à l’Assemblée nationale, l’Anssi recommande une préparation immédiate. Le Référentiel Cyber France, présenté par l’agence, offre un cadre opérationnel pour structurer la démarche et anticiper les preuves de conformité. Les organisations peuvent dès à présent identifier leur assujettissement, cartographier leurs services critiques, désigner un pilote et revoir leurs contrats avec les prestataires essentiels.

Source : Lexing