NIS2 et responsabilité du dirigeant : ce que la loi vous impose personnellement
Mis à jour le 12 septembre 2026
La directive NIS2 ne vise pas seulement les organisations : elle engage la responsabilité personnelle des dirigeants. Validation des mesures de sécurité, formation obligatoire, sanctions financières et même interdiction temporaire d'exercer — voici ce que le texte prévoit concrètement pour les organes de direction.
Une responsabilité personnelle, pas seulement collective
NIS2 rompt avec l'approche des textes antérieurs : les obligations de cybersécurité ne pèsent plus uniquement sur l'entreprise en tant que personne morale. La directive prévoit que les organes de direction approuvent les mesures de gestion des risques cyber, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements.
Concrètement, un dirigeant ne peut plus déléguer entièrement la cybersécurité à sa DSI ou à un prestataire : il doit pouvoir démontrer qu'il a exercé un pilotage effectif.
Une formation cyber obligatoire pour les dirigeants
La directive rend la formation des organes de direction obligatoire. Les dirigeants doivent suivre des formations régulières leur permettant d'acquérir les connaissances et compétences suffisantes pour identifier les risques, évaluer les pratiques de gestion des risques cyber et leur impact sur les services de l'entité.
Cette obligation est symétrique : les entités doivent également proposer des formations comparables à leurs employés. La formation du dirigeant n'est donc pas une option managériale, c'est une exigence légale vérifiable lors des contrôles.
Des sanctions financières dissuasives
NIS2 fixe des plafonds d'amendes administratives différenciés selon le régime de l'entité :
Entités essentielles
- Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total — le montant le plus élevé étant retenu.
Entités importantes
- Jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total — le montant le plus élevé étant retenu.
Jusqu'à l'interdiction temporaire d'exercer
La mesure la plus marquante concerne les entités essentielles : en cas de manquements répétés aux mesures de gestion des risques ou aux obligations de notification, les autorités peuvent suspendre temporairement les fonctions de direction au sein de l'entité — autrement dit, interdire temporairement au dirigeant d'exercer.
Cette sanction personnelle illustre la philosophie du texte : la cybersécurité devient un enjeu de gouvernance, au même titre que la conformité financière ou comptable.
Ce que « piloter » signifie concrètement
La directive n'attend pas du dirigeant une expertise technique, mais un pilotage démontrable. En pratique, cela couvre :
- Validation de l'analyse de risques : approuver l'identification des actifs critiques, des menaces et des mesures de protection proportionnées.
- Arbitrages budgétaires : décider des investissements de sécurité en connaissance de cause, et pouvoir justifier les renoncements.
- Comitologie : instaurer une gouvernance régulière — comités de suivi, indicateurs, revues — qui trace les décisions des organes de direction.
Ces éléments documentés constituent la preuve du pilotage en cas de contrôle ou d'incident.
L'obligation de notification d'incident : 24 heures, puis 72 heures
En cas d'incident significatif, le calendrier est serré : une alerte précoce doit être transmise aux autorités dans les 24 heures suivant la prise de connaissance de l'incident, suivie d'une notification d'incident complète dans les 72 heures. Un rapport final intervient ensuite dans le mois.
Ce délai suppose des procédures de détection et d'escalade déjà en place : il est impossible d'improviser une notification à 24 heures le jour de la crise. Le dirigeant doit s'assurer que l'organisation est capable de tenir ce calendrier.
Votre organisation est-elle concernée ?
Ces obligations ne s'appliquent qu'aux entités du périmètre NIS2. Vérifiez votre situation en trois questions.