À retenir
- La cybersécurité ne relève plus de la seule responsabilité du département IT. En vertu de la loi belge transposant la directive NIS2, les organes de direction doivent approuver les mesures de gestion des risques en matière de cybersécurité et en superviser la mise en œuvre.
- Cette responsabilité ne peut être entièrement déléguée. Un CISO, le département IT ou un prestataire de services externe peut jouer un rôle opérationnel important, mais l’organe de direction conserve sa propre responsabilité juridique.
- La formation est obligatoire. Les membres des organes de direction doivent acquérir des connaissances et compétences suffisantes pour identifier les cyber-risques et évaluer les mesures de gestion des risques mises en place par l’organisation.
- Le non-respect de ces obligations peut avoir des conséquences importantes. Outre les amendes administratives significatives susceptibles d’être infligées à l’organisation, la loi NIS2 prévoit une responsabilité au niveau des organes de direction et, pour les entités essentielles et sous certaines conditions, peut même entraîner une interdiction temporaire pour les administrateurs d’exercer certaines fonctions de direction.
La cybersécurité n’est pas seulement une responsabilité informatique
La cybersécurité a longtemps été considérée avant tout comme une question d’ordre technique. La responsabilité en la matière était principalement confiée au département IT, au Chief Information Security Officer (CISO) ou à un prestataire externe spécialisé en cybersécurité.
La loi belge NIS2 établit clairement que cette approche n’est désormais plus suffisante.
Pour les entités essentielles et importantes, l’article 31 de la loi belge NIS2 impose expressément certaines obligations aux organes de direction. Ceux-ci doivent approuver les mesures de gestion des risques en matière de cybersécurité, superviser leur mise en œuvre et assumer leur responsabilité lorsque l’entité ne respecte pas les obligations qui lui incombent en matière de ces mesures.
La cybersécurité devient ainsi également une question de gouvernance d’entreprise.
La responsabilité ne peut être entièrement déléguée
Cela ne signifie pas que les administrateurs doivent se préoccuper de la mise en œuvre technique quotidienne des mesures de cybersécurité. La responsabilité opérationnelle peut, bien entendu, être confiée à des collaborateurs spécialisés. Un CISO, une équipe IT ou un prestataire externe peut procéder aux évaluations des risques, mettre en œuvre les mesures de sécurité et assurer le suivi des incidents.
Toutefois, l’organe de direction (et les administrateurs qui en font partie) ne peut pas externaliser intégralement son propre rôle juridique. Il doit rester suffisamment impliqué pour évaluer les mesures proposées, les approuver et superviser leur mise en œuvre effective.
En pratique, cela implique notamment que l’organe de direction dispose d’une vision claire des principaux cyber-risques auxquels l’organisation est exposée, des mesures prises pour y répondre et des modalités de suivi de leur mise en œuvre.
La formation en cybersécurité pour les instances de direction est obligatoire
Pour permettre aux organes de gestion d’exercer cette responsabilité de manière éclairée, la loi NIS2 prévoit également expressément une obligation de formation.
Les membres des organes de direction des entités essentielles et importantes doivent suivre une formation afin d’acquérir suffisamment de connaissances et de compétences pour identifier les cyber-risques. Cette formation devrait également leur permettre d’évaluer mieux les pratiques de gestion des risques en cybersécurité et leur impact sur les services de l’organisation.
Les administrateurs ne sont donc pas censés devenir des experts en cybersécurité. Ils doivent cependant posséder suffisamment de connaissances pour prendre des décisions éclairées et exercer une supervision efficace.
Quelles sont les conséquences du non-respect des obligations ?
Les conséquences potentielles du non-respect des obligations sont importantes.
Lorsqu’une entité essentielle ne respecte pas ses obligations relatives aux mesures de cybersécurité ou à la notification des incidents, la loi belge NIS2 prévoit une amende administrative comprise entre 500 EUR et 10 millions EUR, ou 2 % du chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
Pour les entités importantes, l’amende peut s’élever de 500 EUR à 7 millions EUR, ou à 1,4 % du chiffre d’affaires annuel mondial total, là encore, le montant le plus élevé étant retenu. Ces amendes administratives sont infligées à l’entité concernée.
La loi belge NIS2 précise également que la responsabilité ne repose pas exclusivement sur l’organisation en tant que personne morale. L’article 31 met la responsabilité des organes de direction en cause en cas de manquement aux obligations relatives aux mesures de cybersécurité. L’article 61 prévoit en outre que certaines personnes physiques responsables d’une entité essentielle ou importante, ou agissant en qualité de représentant légal de celle-ci, peuvent être tenues responsables du non-respect de leur obligation de superviser la conformité de l’entité à la loi.
Cela ne signifie toutefois pas que tout incident de cybersécurité entraîne automatiquement la responsabilité personnelle d’un administrateur. La directive NIS2 établit en revanche clairement que la cybersécurité ne peut pas être simplement reléguée au département IT sans implication ni supervision suffisantes au niveau de la direction.
Un administrateur peut-il être temporairement écarté de ses fonctions ?
Pour les entités essentielles, l’article 60 de la loi belge NIS2 prévoit également une mesure coercitive particulièrement lourde de conséquences.
Lorsque les mesures imposées par l’autorité compétente ne sont pas prises dans le délai fixé, une personne physique exerçant des responsabilités de direction en qualité de directeur général (CEO) ou agissant en qualité de représentant légal peut se voir temporairement interdire d’exercer des responsabilités de direction au sein de l’entité concernée.
Du risque informatique à une responsabilité de gouvernance
Le message de la directive NIS2 est clair : la cybersécurité ne peut plus être organisée exclusivement au sein du département IT.
Les organes de direction doivent être en mesure de démontrer qu’ils disposent d’une visibilité suffisante sur les cyber-risques auxquels l’organisation est exposée, qu’ils ont approuvé des mesures appropriées, qu’ils en supervisent la mise en œuvre et qu’ils disposent des connaissances suffisantes pour exercer effectivement cette responsabilité.
La cybersécurité constitue ainsi non seulement un risque technique, mais également une responsabilité en matière de gouvernance et de gestion.
Les organisations qui intègrent structurellement la cybersécurité dans leurs processus décisionnels, leurs mécanismes de reporting et la formation des membres de leurs organes de direction sont dès lors mieux à même non seulement de maîtriser les cyber-risques, mais également de démontrer leur conformité aux obligations qui leur incombent en vertu de la directive NIS2.
