Responsabilité des dirigeants au titre de NIS2 : cela changera-t-il le comportement des conseils d'administration ?

Pendant vingt ans, les responsables de la sécurité ont demandé aux conseils de prendre la cybersécurité au sérieux, avec des résultats mitigés. NIS2 modifie la structure des incitations. L'article 20 exige que les organes de direction des entités concernées approuvent les mesures de gestion des risques de cybersécurité, supervisent leur mise en œuvre et suivent eux-mêmes une formation, et il les rend responsables en cas d'infractions. Pour les entités essentielles, les autorités nationales peuvent, dans certaines circonstances, demander une interdiction temporaire à un dirigeant d'exercer des fonctions de direction.

Le conseil d'administration va-t-il changer de comportement ? Je pense que oui, mais pas automatiquement, et pas toujours de la manière que les équipes de sécurité espèrent.

Ce qui devrait changer

• L'approbation devient effective. Un conseil qui doit approuver les mesures, et qui peut être tenu responsable de celles-ci, a une raison de comprendre ce qu'il approuve.
• La formation cesse d'être facultative. Les administrateurs doivent suivre une formation suffisante pour identifier les risques et évaluer les pratiques de gestion. Beaucoup de conseils disposeront, pour la première fois, d'une base commune de compréhension.
• La supervision gagne en structure. Des rapports réguliers sur les mesures, les incidents et les progrès deviennent une obligation légale, et non plus une simple courtoisie.

Ce qui pourrait mal tourner

• La responsabilité peut encourager la case à cocher. Les conseils inquiets de leur exposition personnelle peuvent exiger des preuves de conformité plutôt que des preuves de sécurité : davantage d'attestations, davantage de paperasse, les mêmes risques.
• La formation peut devenir une formalité. Une vidéo annuelle d'une heure satisfait la lettre d'une exigence de formation, sans rien changer.
• Les équipes de sécurité peuvent trop miser sur la peur. « Vous pourriez être tenus responsables » attire l'attention une fois. Cela ne soutient pas un programme dans la durée.

Ce que les conseils devraient faire dès maintenant

1. Comprendre les mesures qu'ils approuvent. L'article 21 énumère dix domaines ; le règlement d'exécution les détaille pour les fournisseurs numériques. Demandez une vue d'ensemble d'une page sur la position de l'organisation pour chacun d'eux.
2. Demander des résultats, pas des documents. En combien de temps pourrions-nous signaler un incident significatif ? Quand avons-nous testé pour la dernière fois une restauration à partir de sauvegardes ? Quels fournisseurs pourraient nous mettre à l'arrêt ?
3. Utiliser un référentiel que le conseil peut lire. La fonction Gouverner du NIST CSF 2.0 couvre exactement le territoire du conseil : contexte, stratégie de risque, rôles, politique, supervision et chaîne d'approvisionnement. Voir le reporting au conseil avec les profils CSF.
4. Rendre la formation substantielle : fondée sur des scénarios, spécifique à l'activité, répétée.

Questions qu'un conseil peut poser dès demain

Les membres d'un conseil n'ont pas besoin de devenir des experts en sécurité pour superviser correctement la sécurité. Ils doivent poser des questions auxquelles on ne peut pas répondre par un document :

• Si notre système le plus important était chiffré par un rançongiciel ce soir, combien de temps faudrait-il pour reprendre l'activité, et quand avons-nous testé cela pour la dernière fois ?
• Quels trois fournisseurs pourraient nous causer le plus de tort, et que savons-nous de leur sécurité ?
• Combien de vulnérabilités critiques sont ouvertes sur les systèmes exposés à Internet, et quel est l'âge de la plus ancienne ?
• Qui décide si un incident est suffisamment significatif pour être notifié dans les 24 heures, et l'ont-ils déjà mis en pratique ?
• Qu'ont relevé notre dernier audit ou notre dernière évaluation, et qu'est-ce qui a changé depuis ?

Les réponses doivent s'accompagner de preuves : résultats de tests, indicateurs, dates. Avec le temps, les questions du conseil façonnent ce que la direction mesure, ce qui correspond précisément à la supervision que demande l'article 20. L'analyse d'écarts indique quelles mesures NIS2 votre référentiel actuel couvre déjà.

Points clés à retenir

• L'article 20 oblige les conseils à approuver, superviser et se former en matière de cybersécurité.
• La responsabilité peut susciter une supervision réelle ou davantage de paperasse.
• Les conseils doivent demander des résultats et des preuves, et non des documents.

L'opportunité

L'article 20 donne aux responsables de la sécurité l'attention du conseil, par la loi. Le meilleur usage n'est pas d'agiter la clause de responsabilité, mais de soumettre au conseil de véritables décisions : quel risque il est prêt à accepter, ce qu'il financera et ce qu'il attend de voir. C'est cela, la gouvernance. Le reste, c'est de la paperasse.

Pour une vue d'ensemble, consultez le guide NIS2 et notre article sur la procédure de notification NIS2. La page du référentiel NIS2 fait correspondre chaque point du règlement d'exécution à dix référentiels.

Questions

Que demande l'article 20 de NIS2 aux dirigeants ?

Les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre, suivre une formation, et peuvent être tenus responsables des infractions. Les États membres encouragent également une formation régulière pour le personnel.

Les administrateurs peuvent-ils être personnellement responsables au titre de NIS2 ?

NIS2 impose aux États membres de veiller à ce que la direction puisse être tenue responsable des infractions, et, pour les entités essentielles, prévoit dans certains cas des interdictions temporaires d'exercer des fonctions de direction. Les modalités de cette responsabilité dépendent du droit national.

Quelle formation les organes de direction soumis à NIS2 doivent-ils suivre ?

Une formation suffisante pour acquérir des connaissances et des compétences permettant d'identifier les risques et d'évaluer les pratiques de gestion des risques de cybersécurité ainsi que leur incidence sur les services fournis par l'entité. Le format est laissé à l'appréciation de l'entité et du droit national.