1. Ce que la loi impose (Article 20 NIS2)
Les dirigeants d'entités essentielles et importantes ont des obligations directes et non délégables :
- Approuver les politiques et mesures de cybersécurité de l'organisation.
- Superviser leur mise en œuvre effective.
- Suivre une formation obligatoire sur les risques cyber et leur impact business.
La cybersécurité monte au COMEX / Conseil d'Administration. Ce n'est plus optionnel.
2. Conséquences en cas de manquement
La responsabilité est PERSONNELLE. En cas de manquement constaté par l'ANSSI :
- Amendes administratives : jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles.
- Interdiction temporaire d'exercer des fonctions dirigeantes.
- Responsabilité civile et potentiellement pénale (négligence grave).
- Publication des sanctions (réputation entreprise + personnelle).
3. En pratique pour votre PME
Pour être conforme dès 2026, la direction doit :
- Présenter les risques cyber en COMEX (au moins 1 fois par an)
- Valider le budget & le plan d'actions cybersécurité
- Suivre une formation certifiante (ANSSI, organismes agréés)
- Nommer un référent NIS2 interne
NIS2facile vous aide à structurer ces démarches : templates COMEX prêts à l'emploi, wizard de déclaration d'incidents, suivi des actions et preuves exportables pour l'ANSSI.
Source : Articles 20 & 21 de la directive (UE) 2022/2555 + transposition française (Loi Résilience). Ce document est fourni à titre informatif — consultez toujours un conseil juridique pour votre situation spécifique.