5 min de lecture
ChatGPT
Mistral
Perplexity
Claude
Date de mise à jour 30/07/2026
NIS2 fait passer la cybersécurité d’un sujet principalement technique à un enjeu de gouvernance documentée : les organes de direction doivent approuver, superviser et prouver leur implication.
Il y a un avant et un après NIS2 dans la façon dont un dirigeant doit piloter la cybersécurité de son organisation. Avant, le sujet pouvait rester largement délégué au RSSI ou au DSI, suivi de loin par le COMEX. Après, ce n’est plus possible : la directive engage directement les organes de direction, avec des obligations d’approbation, de supervision et de formation qui pourront, selon les modalités de transposition nationale, fonder une mise en cause personnelle en cas de manquement.
Ce changement mérite d'être bien compris avant d'en tirer des conclusions hâtives, y compris sur le calendrier, qui reste aujourd'hui plus incertain qu'on ne le présente souvent.
Notre livre blanc sur la gestion unifiée des risques à l’ère de NIS2
Ce que NIS2 change pour un dirigeant
La directive NIS2 (UE 2022/2555) introduit une rupture par rapport aux cadres précédents : elle ne se contente pas d'imposer des mesures techniques à l'organisation, elle engage la responsabilité des personnes physiques à sa tête.
Concrètement, les organes de direction des entités concernées doivent :
- Approuver les mesures de gestion des risques de cybersécurité mises en œuvre par l'entité ;
- Superviser leur mise en œuvre et répondre de tout manquement ;
- Suivre une formation régulière à la cybersécurité, adaptée à leur rôle, et encourager leurs équipes à en faire de même.
Ce n'est donc plus une question que l'on peut entièrement déléguer à la DSI ou au RSSI sans engagement explicite et documenté du COMEX. Et le point souvent sous-estimé : externaliser la mise en œuvre n'externalise pas l'obligation. Une direction qui confie l'essentiel de sa cybersécurité à un prestataire reste comptable de sa conformité, et conserve la charge de vérifier ce qui est fait en son nom.
Les sanctions, et ce qu'elles signifient vraiment pour un dirigeant
Les montants sont désormais largement documentés : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes. Mais le chiffre qui doit retenir l'attention d'un dirigeant n'est pas celui-là.
C’est la possibilité, en cas de manquement répété et selon les modalités de transposition nationale, qu’une mesure d’interdiction temporaire d’exercer des fonctions de direction puisse être prononcée. Cette disposition transforme la cybersécurité en sujet de gouvernance d’entreprise au sens strict, au même titre que la conformité financière ou la sécurité au travail.
Pour un COMEX, la question centrale n'est donc plus seulement « sommes-nous protégés ? ». Elle devient : « pouvons-nous prouver que nous avons supervisé activement la gestion des risques, à tout instant ? »
La supervision se prouve, elle ne se déclare pas
C'est le point le plus opérationnel, et probablement le moins anticipé dans les organisations. Affirmer que l'on supervise les risques ne suffira pas devant une autorité de contrôle. Ce qui sera attendu, ce sont des preuves : délibérations du conseil, comptes rendus de COMEX, plans d'action validés, formations dirigeants attestées, tableaux de bord visés.
La traçabilité de la gouvernance devient une exigence de premier rang, à équivalence avec les contrôles techniques eux-mêmes. Or, dans la plupart des organisations aujourd'hui, cette preuve est éparpillée entre plusieurs outils et reconstituée a posteriori, dans l'urgence, à l'approche de chaque conseil d'administration.
Un dirigeant qui se présenterait devant une autorité de contrôle avec quatre cartographies de risques distinctes et incohérentes, une portée par le RSSI, une autre par le Risk Officer, une troisième par le DPO, une quatrième par la Qualité, ne serait pas en position de défense favorable. La consolidation des risques et des preuves n'est plus un confort organisationne, c'est devenu une condition de la défendabilité du dirigeant lui-même.
Où en est réellement le calendrier français
Il est utile de remettre les choses à leur juste place, car beaucoup de contenus en circulation laissent entendre une échéance plus arrêtée qu'elle ne l'est. La directive européenne devait être transposée par chaque État membre au plus tard le 17 octobre 2024. La France a pris du retard, le véhicule de transposition retenu est le projet de loi dit Résilience, qui transpose simultanément NIS2, la directive REC sur les entités critiques non numériques, et adapte le droit français au règlement DORA.
À la date de juin 2026, ce texte est toujours en navette parlementaire : adopté en première lecture au Sénat en mars 2025, examiné en commission spéciale à l'Assemblée nationale en septembre 2025, son passage en hémicycle est désormais évoqué pour l'été 2026. La promulgation définitive et la publication des décrets techniques restent donc à venir.
Cette incertitude calendaire ne doit cependant pas être lue comme un répit. Deux éléments changent la donne :
- L’ANSSI a publié le 17 mars 2026 la version 2.5 du Référentiel Cyber France (ReCyF), qui détaille 20 objectifs de sécurité et leurs moyens acceptables de conformité. Diffusé à ce stade comme document de travail, ce référentiel constitue un point d’appui structurant pour anticiper les exigences de transposition et conduire une auto-évaluation dès maintenant.
- Une fois la loi promulguée, le délai laissé aux organisations pour se mettre en conformité sera probablement court, alors que la mise en conformité elle-même se compte en mois. Attendre la promulgation pour commencer à agir, c'est s'exposer à subir une échéance plutôt qu'à la maîtriser.
Ce que cela signifie concrètement pour un COMEX, dès maintenant
Trois actions ne dépendent pas du calendrier législatif et peuvent être engagées sans attendre :
- Désigner un sponsor exécutif explicite de la démarche NIS2, et clarifier les rôles entre DPO, RSSI, Risk Officer et Direction Qualité, la question de la gouvernance précède celle des outils.
- Utiliser le ReCyF comme grille d'auto-évaluation pour identifier dès maintenant les écarts entre l'existant et les 20 objectifs de sécurité, plutôt que de découvrir ces écarts sous la pression d'une échéance fixée.
- Structurer dès aujourd'hui la traçabilité de la gouvernance : comptes rendus, validations, formations dirigeants, car c'est elle qui, demain, distinguera une organisation en mesure de prouver sa supervision d'une autre qui devra la reconstituer dans l'urgence.
C'est précisément l'angle mort que révèle l'absence de vision consolidée des risques : sans cartographie unique, la preuve de supervision dirigeante reste un exercice de reconstitution manuelle, refait à chaque échéance, au lieu d'être disponible en continu.
. . .
5 min de lecture
