NIS2 et responsabilité personnelle : ce que l'administrateur doit savoir avant de siéger

Les cyberattaques qui ont touché des administrations et grandes entreprises françaises ont au moins une vertu pédagogique : elles ont définitivement déplacé le risque cyber du bureau de la DSI vers la salle du conseil d'administration. Ce n'est plus un sujet technique à déléguer : c'est une question de responsabilité personnelle pour l'administrateur, et les textes l'ont désormais écrit noir sur blanc.

La bascule : du sujet informatique au droit dur

Pendant deux décennies, la cybersécurité a été traitée comme une affaire d'experts : le RSSI, le directeur des systèmes d'information, les équipes techniques. Le conseil d'administration était informé, souvent a posteriori, sans disposer des clés pour challenger les décisions de protection.

Cette époque est révolue. Trois textes européens et français ont fait de la sécurité des systèmes d'information une obligation directement adressée aux organes de direction :

• NIS2 (directive européenne, transposée en France par la loi du 24 janvier 2024) : son article 20 dispose explicitement que « les organes de direction ou de gestion de l'entité approuvent les mesures de gestion des risques de cybersécurité » et peuvent être « tenus pour responsables du non-respect des obligations ».
• DORA (règlement européen sur la résilience opérationnelle du secteur financier) : il interdit la délégation de la responsabilité en matière de risques liés aux TIC.
• RGPD : ses sanctions (jusqu'à 4 % du chiffre d'affaires mondial) ont déjà frappé des entreprises pour défaut de sécurité, la CNIL ayant infligé des amendes records à plusieurs grands groupes.

Que dit précisément l'article 20 de NIS2 ?

L'article 20 est le passage le plus directement adressé aux administrateurs. Il impose que les organes de direction :

• approuvent les mesures de gestion des risques de cybersécurité adoptées par l'entité ;
• supervisent leur mise en œuvre ;
• suivent une formation destinée à acquérir « des connaissances et compétences suffisantes pour cerner et évaluer les risques de cybersécurité, ainsi que les incidences des activités de gestion de ces risques sur les activités de l'entité ».

Autrement dit : vous ne pouvez plus vous reposer sur la seule parole du RSSI. La loi exige que vous compreniez suffisamment le sujet pour l'évaluer — ce qui est exactement la définition de la supervision de gouvernance, et non de la gestion technique.

Le devoir de vigilance : le socle commun qui s'applique à tous

Même en dehors de NIS2, l'administrateur de toute société — cotée, SAS, association, mutuelle — est soumis au devoir de diligence (art. L.225-251 et suivants du Code de commerce). Ce devoir oblige à s'informer, à poser les questions, et à réagir face à un risque identifié.

Plusieurs contentieux récents l'ont montré : un conseil qui n'a pas challengé la direction sur un risque cyber connu, qui n'a pas exigé de plan de continuité testé, ou qui est resté passif lors d'un incident peut voir sa responsabilité engagée. La jurisprudence s'étoffe, et les assureurs D&O commencent à exclure certains scenarios cyber de leurs garanties lorsqu'ils constatent une absence de supervision.

Cinq questions que tout conseil doit poser

Pour exercer cette supervision sans devenir ingénieur, les administrateurs peuvent s'appuyer sur cinq questions simples mais déterminantes :

1. Quels scénarios d'attaque avons-nous testés ? Une simulation réelle vaut mieux qu'un slide de conformité.
2. Quels systèmes critiques restent exposés ? La question exige une hiérarchisation, pas une liste exhaustive.
3. En combien de temps détectons-nous une compromission ? Le temps de détection (MTTD) est le premier indicateur de maturité.
4. Quand avons-nous restauré une sauvegarde dans des conditions réelles ? Un PRA/PCA qui n'a jamais été testé est une promesse, pas une capacité.
5. Que se passe-t-il si notre fournisseur critique tombe ? Le risque de supply chain est devenu un risque systémique.

Se former sans devenir RSSI : la position Blueboard

Le rôle de l'administrateur n'est pas de réussir le pentest lui-même. Il est de comprendre suffisamment pour questionner, interpréter et superviser. C'est précisément la promesse du parcours de certification Blueboard : un module dédié au volet technologique (comprendre les menaces et les défenses, sans jargon d'ingénieur), un module dédié au volet réglementaire (NIS2, DORA, AI Act, RGPD), et un module dédié à la souveraineté.

Dans un monde où la loi exige de vous des compétences réelles en cybersécurité, la certification n'est plus un plus de carrière : c'est une protection de votre responsabilité, et un signal que les boards recherchent de plus en plus.

Ce que les affaires récentes disent de la supervision des boards

Les sanctions et contentieux des dernières années offrent un aperçu concret de ce que la loi attend des organes de direction. Trois cas, largement documentés, sont devenus des références dans la formation des administrateurs.

• Free et l'amende de 40 millions d'euros (CNIL, 2024) : le fournisseur d'accès a été sanctionné pour des mesures de sécurité insuffisantes à l'origine de deux fuites de données massives. L'audit a mis en évidence des lacunes de gouvernance de la sécurité, pas un simple défaut technique. Leçon : la CNIL examine la manière dont l'organisation gouverne sa sécurité, pas seulement ses outils.
• France Travail (2024) : une cyberattaque a exposé des données de millions de demandeurs d'emploi. L'affaire a placé la gouvernance de la donnée et la gestion de crise sous les projecteurs, et a montré que même les entités publiques doivent articuler rapidité de détection et conformité RGPD.
• Le ransomware Lorenz sur un hôpital (2022) : l'établissement a dû suspendre ses activités, illustrant l'impact opérationnel direct d'un incident que la direction générale et le conseil n'avaient pas anticipé comme risque de continuité d'activité.

Dans chacun de ces cas, la question qui se pose au conseil n'est pas « avons-nous un antivirus ? » mais « comment notre gouvernance traite-t-elle un risque que nous ne pouvons pas éliminer ? ». C'est exactement le décalage que la certification Blueboard cherche à combler : passer de la question technique à la question de gouvernance.

Les signes qui ne trompent pas : un conseil non préparé

Un administrateur qui débute sa supervision du cyber peut s'appuyer sur quelques signaux d'alerte simples :

• le point cyber est confiné à un slide de 5 minutes en fin de conseil, sans débat ;
• la direction répond « on n'a rien à cacher » ou « on n'est pas une cible » ;
• aucun exercice de simulation n'a jamais été réalisé ;
• les indicateurs présentés sont uniquement techniques (nombre de tentatives) sans lien avec le risque business ;
• la cyber-assurance exclut explicitement les scénarios dans lesquels l'entreprise n'a pas respecté ses obligations de maintien en condition.

Chacun de ces signaux est un point d'entrée pour un questionnement de gouvernance : non pas auditer la technique, mais exiger des preuves de préparation et de résilience.

La littératie IA : l'autre chantier réglementaire méconnu

L'AI Act ajoute une obligation que beaucoup d'administrateurs découvrent : celle de littératie — littéralement, l'obligation pour les déployeurs de systèmes d'IA de s'assurer que les personnes qui les utilisent ou les supervisent disposent « des compétences, des connaissances et de la compréhension » suffisantes. Le sujet rejoint celui de NIS2 : la réglementation ne se contente plus de fixer des règles techniques, elle exige des compétences humaines au niveau de la gouvernance.

Shadow AI, hallucinations, fuite de données via un outil génératif, biais de décision : les usages se multiplient plus vite que leur encadrement. Un conseil qui ne pose pas la question de la gouvernance de l'IA expose l'entreprise — et, de plus en plus, ses administrateurs.

Conclusion : se former n'est plus une option, c'est un devoir

NIS2, DORA, l'AI Act et le RGPD ont transformé la cybersécurité et l'IA en sujets de droit dur, directement adressés aux organes de direction. L'administrateur qui siège aujourd'hui sans capacité à questionner, interpréter et superviser ces risques ne se prive pas seulement d'un atout de carrière : il laisse sa responsabilité exposée.

La bonne nouvelle, c'est qu'on n'a pas besoin de devenir ingénieur. Le standard attendu est celui du questionnement exigeant — et c'est précisément ce que la formation des administrateurs doit construire.

Pour approfondir, les modules « Cyber & IA technologique » et « Cyber & IA réglementaire » de Blueboard Academy proposent une immersion structurée dans ces enjeux, avec les cas réels qui les illustrent.