Responsabilité des dirigeants en cybersécurité : NIS2, RGPD et obligations légales 2026

La cybersécurité n'est plus seulement l'affaire du DSI ou du RSSI. En 2026, la réglementation impose aux dirigeants d'entreprise — PDG, directeurs généraux, présidents de conseil d'administration, membres du COMEX — une responsabilité personnelle directe en matière de cybersécurité. NIS2 formalise cette responsabilité de manière inédite en Europe, en alignant la cybersécurité avec les standards de gouvernance du droit des sociétés.

NIS2 article 20 : la responsabilité explicite des dirigeants

L'article 20 de la directive NIS2 est le texte fondateur de la responsabilité des dirigeants en cybersécurité. Il prévoit trois obligations distinctes pour les organes de direction des entités soumises à NIS2 :

Obligation d'approbation des mesures de sécurité

Les organes de direction — compris comme le conseil d'administration, le directoire, le comité de direction ou toute instance équivalente — doivent explicitement approuver les mesures de gestion des risques de cybersécurité. Cette approbation doit être formelle, documentée et régulièrement révisée.

• Validation annuelle de la PSSI (Politique de Sécurité des Systèmes d'Information)
• Approbation du budget cybersécurité et des investissements en outils de sécurité
• Révision des plans de continuité d'activité et de reprise après sinistre
• Supervision du dispositif de gestion des incidents (processus de notification)

Obligation de formation des dirigeants

NIS2 impose aux États membres d'exiger que les membres des organes de direction suivent une formation en cybersécurité. En France, cette formation doit leur permettre de :

• Comprendre les risques cyber auxquels l'organisation est exposée
• Évaluer la pertinence des mesures de sécurité proposées par le RSSI
• Prendre des décisions éclairées sur les arbitrages risque/investissement
• Assumer leur rôle dans la chaîne de responsabilité lors d'incidents

Responsabilité personnelle en cas de violation

NIS2 prévoit que les personnes physiques exerçant des fonctions de direction peuvent être personnellement sanctionnées en cas de violation grave résultant d'un manquement délibéré ou d'une négligence grave. Les sanctions possibles incluent une interdiction temporaire d'exercer des fonctions de direction pour les entités essentielles.

RGPD : la responsabilité des dirigeants avant NIS2

Le RGPD avait déjà posé les bases de la responsabilité des dirigeants en matière de protection des données. Plusieurs mécanismes engagent déjà la responsabilité au niveau du COMEX :

• Accountability (article 5.2) : le responsable du traitement doit pouvoir démontrer la conformité — c'est une obligation de gouvernance qui remonte au niveau de la direction
• Désignation du DPO : la décision de nommer (ou non) un DPO est une décision de direction
• AIPD sur les traitements à risque : la décision de lancer ou arrêter un traitement à risque sans AIPD est une décision de direction
• Notification CNIL sous 72h : la décision de notifier ou non une violation de données est une décision de direction

En cas de sanction CNIL, c'est l'organisation qui est sanctionnée, mais les dirigeants peuvent être cités nommément dans les décisions publiques. La CNIL a d'ailleurs publié des décisions mentionnant explicitement des défaillances de gouvernance au niveau de la direction.

Droit pénal : responsabilité en cas de violation de données

L'article 226-17 du Code pénal sanctionne le fait de traiter des données à caractère personnel en méconnaissance des mesures de sécurité prescrites par la CNIL. Cette infraction est punie de 5 ans d'emprisonnement et 300 000 euros d'amende pour les personnes physiques. En cas de compromission de données de santé ou de données particulièrement sensibles, ces sanctions peuvent être aggravées.

Les dirigeants peuvent être poursuivis pénalement si la négligence dans la mise en place des mesures de sécurité est établie. La délégation de pouvoirs à un RSSI ou un DSI peut limiter cette responsabilité, mais la délégation doit être formelle, documentée et le délégataire doit disposer des moyens nécessaires.

LPM et OIV : la responsabilité des dirigeants dans les secteurs critiques

Pour les Opérateurs d'Importance Vitale (OIV) soumis à la Loi de Programmation Militaire (LPM), la responsabilité des dirigeants est encore plus engagée :

• Les dirigeants d'OIV sont personnellement engagés dans le respect des règles de sécurité édictées par les ministères coordonnateurs
• Le non-respect des règles de sécurité de la LPM peut entraîner des poursuites pénales
• Les inspections gouvernementales de sécurité (IGS) évaluent directement la gouvernance cyber au niveau de la direction

L'assurance D&O (Directors & Officers) et la cyber

Face à la montée de la responsabilité personnelle des dirigeants en cybersécurité, l'assurance D&O évolue :

• Les polices D&O commencent à couvrir expressément les litiges liés à la cybersécurité (actionnaires, régulateurs)
• Les assureurs cyber demandent de plus en plus des attestations de gouvernance cyber signées par le DG
• Certains assureurs conditionnent la couverture cyber à la démonstration d'une gouvernance active de la direction (formation, approbation PSSI, revue annuelle)
• En cas de sinistre, les assureurs examinent si la direction a respecté ses obligations NIS2 et RGPD pour évaluer leur couverture

Bonnes pratiques de gouvernance cyber pour les dirigeants

Pour exercer leur responsabilité de manière effective et se protéger personnellement, les dirigeants doivent mettre en place les pratiques suivantes :

• Point cyber trimestriel au COMEX : revue des indicateurs de sécurité, incidents, avancement de la conformité
• Formation annuelle des dirigeants sur les risques cyber et les obligations légales (obligation NIS2 article 20)
• Approbation formelle de la PSSI en conseil d'administration ou comité de direction, avec signature et archivage
• Budget cybersécurité inscrit au budget général et approuvé par le CA, avec suivi des dépenses
• Délégation formelle au RSSI avec définition des pouvoirs, des ressources et des reportings attendus
• Exercice de crise annuel impliquant la direction dans la prise de décision lors d'un incident simulé
• Rapport cyber annuel présenté en CA ou AG incluant les incidents, les mesures et les conformités

Conclusion

La cybersécurité est désormais un sujet de gouvernance d'entreprise au même titre que la conformité financière ou la responsabilité environnementale. NIS2 a formalisé ce que les incidents de grande ampleur avaient déjà montré : quand une organisation est victime d'une cyberattaque grave, la responsabilité remonte jusqu'à la direction. CyberConform propose des sessions de formation et de sensibilisation spécifiquement conçues pour les COMEX et conseils d'administration, permettant aux dirigeants de comprendre leurs obligations et d'assumer pleinement leur rôle en matière de cybersécurité.