{"id":19240,"date":"2026-09-01T09:57:13","date_gmt":"2026-09-01T08:57:13","guid":{"rendered":"https:\/\/www.cranium.eu\/nis2-management-liability\/"},"modified":"2026-09-03T14:28:29","modified_gmt":"2026-09-03T13:28:29","slug":"nis2-responsabilite-des-dirigeants","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/nis2-responsabilite-des-dirigeants\/","title":{"rendered":"NIS2 et responsabilit\u00e9 des dirigeants : pourquoi la cybers\u00e9curit\u00e9 est \u00e9galement un enjeu au niveau du conseil d\u2019administration"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"19240\" class=\"elementor elementor-19240 elementor-19114\" data-elementor-settings=\"{&quot;element_pack_global_tooltip_width&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_padding&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true}}\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-dbd40b3 e-con e-atomic-element e-flexbox-base e-default-div e-7dad31a \" data-id=\"dbd40b3\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"dbd40b3\" data-e-type=\"e-flexbox\" data-id=\"dbd40b3\">\n    \t\t<div class=\"elementor-element elementor-element-39093d2 elementor-widget elementor-widget-html\" data-id=\"39093d2\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<div style=\"position:relative;padding-top:56.25%;\"><iframe data-src=\"https:\/\/player.mediadelivery.net\/embed\/585288\/28551ca6-256b-4827-9bed-d58cc3004b48?autoplay=true&loop=false&muted=true&preload=true&responsive=true\" style=\"border:0;position:absolute;top:0;height:100%;width:100%;\" allow=\"accelerometer;gyroscope;autoplay;encrypted-media;picture-in-picture;fullscreen;\" allowfullscreen=\"true\" src=\"data:image\/svg+xml;base64,PHN2ZyB3aWR0aD0iMSIgaGVpZ2h0PSIxIiB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciPjwvc3ZnPg==\" class=\"lazyload\" data-load-mode=\"0\"><\/iframe><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-07137e2 e-con e-atomic-element e-flexbox-base e-default-div e-1ffecd0 \" data-id=\"07137e2\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"07137e2\" data-e-type=\"e-flexbox\" data-id=\"07137e2\">\n    \t\t<div class=\"elementor-element elementor-element-3b7284f elementor-widget elementor-widget-text-editor\" data-id=\"3b7284f\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2 style=\"font-weight: 400;\"><strong>\u00c0 retenir<\/strong><\/h2>\n<ul>\n<li><strong>La cybers\u00e9curit\u00e9 ne rel\u00e8ve plus de la seule responsabilit\u00e9 du d\u00e9partement IT.<\/strong> En vertu de la loi belge transposant la directive NIS2, les organes de direction doivent approuver les mesures de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9 et en superviser la mise en \u0153uvre.<\/li>\n<li><strong>Cette responsabilit\u00e9 ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e.<\/strong> Un CISO, le d\u00e9partement IT ou un prestataire de services externe peut jouer un r\u00f4le op\u00e9rationnel important, mais l\u2019organe de direction conserve sa propre responsabilit\u00e9 juridique.<\/li>\n<li><strong>La formation est obligatoire.<\/strong> Les membres des organes de direction doivent acqu\u00e9rir des connaissances et comp\u00e9tences suffisantes pour identifier les cyber-risques et \u00e9valuer les mesures de gestion des risques mises en place par l\u2019organisation.<\/li>\n<li><strong>Le non-respect de ces obligations peut avoir des cons\u00e9quences importantes.<\/strong> Outre les amendes administratives significatives susceptibles d\u2019\u00eatre inflig\u00e9es \u00e0 l\u2019organisation, la loi NIS2 pr\u00e9voit une responsabilit\u00e9 au niveau des organes de direction et, pour les entit\u00e9s essentielles et sous certaines conditions, peut m\u00eame entra\u00eener une interdiction temporaire pour les administrateurs d\u2019exercer certaines fonctions de direction.<\/li>\n<\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-3df5e39 e-con e-atomic-element e-flexbox-base e-default-div e-38c63e6 \" data-id=\"3df5e39\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"3df5e39\" data-e-type=\"e-flexbox\" data-id=\"3df5e39\">\n    \t\t<div class=\"elementor-element elementor-element-33ad5f4 elementor-widget elementor-widget-text-editor\" data-id=\"33ad5f4\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><strong>La cybers\u00e9curit\u00e9 n&rsquo;est pas seulement une responsabilit\u00e9 informatique<\/strong><\/h2>\n<p style=\"font-weight: 400;\">La cybers\u00e9curit\u00e9 a longtemps \u00e9t\u00e9 consid\u00e9r\u00e9e avant tout comme une question d\u2019ordre technique. La responsabilit\u00e9 en la mati\u00e8re \u00e9tait principalement confi\u00e9e au d\u00e9partement IT, au Chief Information Security Officer (CISO) ou \u00e0 un prestataire externe sp\u00e9cialis\u00e9 en cybers\u00e9curit\u00e9.<\/p>\n<p style=\"font-weight: 400;\">La loi belge NIS2 \u00e9tablit clairement que cette approche n\u2019est d\u00e9sormais plus suffisante.<\/p>\n<p style=\"font-weight: 400;\">Pour les entit\u00e9s essentielles et importantes, l\u2019article 31 de la loi belge NIS2 impose express\u00e9ment certaines obligations aux organes de direction. Ceux-ci doivent approuver les mesures de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9, superviser leur mise en \u0153uvre et assumer leur responsabilit\u00e9 lorsque l\u2019entit\u00e9 ne respecte pas les obligations qui lui incombent en mati\u00e8re de ces mesures.<\/p>\n<p style=\"font-weight: 400;\">La cybers\u00e9curit\u00e9 devient ainsi \u00e9galement une question de gouvernance d\u2019entreprise.<\/p>\n<h2><strong>La responsabilit\u00e9 ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e<\/strong><\/h2>\n<p style=\"font-weight: 400;\">Cela ne signifie pas que les administrateurs doivent se pr\u00e9occuper de la mise en \u0153uvre technique quotidienne des mesures de cybers\u00e9curit\u00e9. La responsabilit\u00e9 op\u00e9rationnelle peut, bien entendu, \u00eatre confi\u00e9e \u00e0 des collaborateurs sp\u00e9cialis\u00e9s. Un CISO, une \u00e9quipe IT ou un prestataire externe peut proc\u00e9der aux \u00e9valuations des risques, mettre en \u0153uvre les mesures de s\u00e9curit\u00e9 et assurer le suivi des incidents.<\/p>\n<p style=\"font-weight: 400;\">Toutefois, l\u2019organe de direction (et les administrateurs qui en font partie) ne peut pas externaliser int\u00e9gralement son propre r\u00f4le juridique. Il doit rester suffisamment impliqu\u00e9 pour \u00e9valuer les mesures propos\u00e9es, les approuver et superviser leur mise en \u0153uvre effective.<\/p>\n<p style=\"font-weight: 400;\">En pratique, cela implique notamment que l\u2019organe de direction dispose d\u2019une vision claire des principaux cyber-risques auxquels l\u2019organisation est expos\u00e9e, des mesures prises pour y r\u00e9pondre et des modalit\u00e9s de suivi de leur mise en \u0153uvre.<\/p>\n<h2><strong>La formation en cybers\u00e9curit\u00e9 pour les instances de direction est obligatoire<\/strong><\/h2>\n<p style=\"font-weight: 400;\">Pour permettre aux organes de gestion d&rsquo;exercer cette responsabilit\u00e9 de mani\u00e8re \u00e9clair\u00e9e, la loi NIS2 pr\u00e9voit \u00e9galement express\u00e9ment une <strong>obligation de formation<\/strong>.<\/p>\n<p style=\"font-weight: 400;\">Les membres des organes de direction des entit\u00e9s essentielles et importantes doivent suivre une formation afin d&rsquo;acqu\u00e9rir suffisamment de connaissances et de comp\u00e9tences pour identifier les cyber-risques. Cette formation devrait \u00e9galement leur permettre d&rsquo;\u00e9valuer mieux les pratiques de gestion des risques en cybers\u00e9curit\u00e9 et leur impact sur les services de l&rsquo;organisation.<\/p>\n<p style=\"font-weight: 400;\">Les administrateurs ne sont donc pas cens\u00e9s devenir des experts en cybers\u00e9curit\u00e9. Ils doivent cependant poss\u00e9der suffisamment de connaissances pour prendre des d\u00e9cisions \u00e9clair\u00e9es et exercer une supervision efficace.<\/p>\n<h2 style=\"font-weight: 400;\"><strong>Quelles sont les cons\u00e9quences du non-respect des obligations ?<\/strong><\/h2>\n<p style=\"font-weight: 400;\">Les cons\u00e9quences potentielles du non-respect des obligations sont importantes.<\/p>\n<p style=\"font-weight: 400;\">Lorsqu\u2019une <strong>entit\u00e9 essentielle<\/strong> ne respecte pas ses obligations relatives aux mesures de cybers\u00e9curit\u00e9 ou \u00e0 la notification des incidents, la loi belge NIS2 pr\u00e9voit une amende administrative comprise entre 500 EUR et 10 millions EUR, ou 2 % du chiffre d\u2019affaires annuel mondial total r\u00e9alis\u00e9 au cours de l\u2019exercice pr\u00e9c\u00e9dent, le montant le plus \u00e9lev\u00e9 \u00e9tant retenu.<\/p>\n<p style=\"font-weight: 400;\">Pour les <strong>entit\u00e9s importantes<\/strong>, l\u2019amende peut s\u2019\u00e9lever de 500 EUR \u00e0 7 millions EUR, ou \u00e0 1,4 % du chiffre d\u2019affaires annuel mondial total, l\u00e0 encore, le montant le plus \u00e9lev\u00e9 \u00e9tant retenu. Ces amendes administratives sont inflig\u00e9es \u00e0 l\u2019entit\u00e9 concern\u00e9e.<\/p>\n<p style=\"font-weight: 400;\">La loi belge NIS2 pr\u00e9cise \u00e9galement que la responsabilit\u00e9 ne repose pas exclusivement sur l\u2019organisation en tant que personne morale. L\u2019article 31 met la responsabilit\u00e9 des organes de direction en cause en cas de manquement aux obligations relatives aux mesures de cybers\u00e9curit\u00e9. L\u2019article 61 pr\u00e9voit en outre que certaines personnes physiques responsables d\u2019une entit\u00e9 essentielle ou importante, ou agissant en qualit\u00e9 de repr\u00e9sentant l\u00e9gal de celle-ci, peuvent \u00eatre tenues responsables du non-respect de leur obligation de superviser la conformit\u00e9 de l\u2019entit\u00e9 \u00e0 la loi.<\/p>\n<p style=\"font-weight: 400;\">Cela ne signifie toutefois pas que tout incident de cybers\u00e9curit\u00e9 entra\u00eene automatiquement la responsabilit\u00e9 personnelle d\u2019un administrateur. La directive NIS2 \u00e9tablit en revanche clairement que la cybers\u00e9curit\u00e9 ne peut pas \u00eatre simplement rel\u00e9gu\u00e9e au d\u00e9partement IT sans implication ni supervision suffisantes au niveau de la direction.<\/p>\n<h2><strong>Un administrateur peut-il \u00eatre temporairement \u00e9cart\u00e9 de ses fonctions ?<\/strong><strong>\u00a0<\/strong><\/h2>\n<p style=\"font-weight: 400;\">Pour les <em>entit\u00e9s essentielles<\/em>, l\u2019article 60 de la loi belge NIS2 pr\u00e9voit \u00e9galement une mesure coercitive particuli\u00e8rement lourde de cons\u00e9quences.<\/p>\n<p style=\"font-weight: 400;\">Lorsque les mesures impos\u00e9es par l\u2019autorit\u00e9 comp\u00e9tente ne sont pas prises dans le d\u00e9lai fix\u00e9, une personne physique exer\u00e7ant des responsabilit\u00e9s de direction en qualit\u00e9 de directeur g\u00e9n\u00e9ral (CEO) ou agissant en qualit\u00e9 de repr\u00e9sentant l\u00e9gal peut se voir temporairement interdire d\u2019exercer des responsabilit\u00e9s de direction au sein de l\u2019entit\u00e9 concern\u00e9e.<\/p>\n<h2>Du risque informatique \u00e0 une responsabilit\u00e9 de gouvernance<strong>\u00a0<\/strong><\/h2>\n<p style=\"font-weight: 400;\">Le message de la directive NIS2 est clair : la cybers\u00e9curit\u00e9 ne peut plus \u00eatre organis\u00e9e exclusivement au sein du d\u00e9partement IT.<\/p>\n<p style=\"font-weight: 400;\">Les organes de direction doivent \u00eatre en mesure de d\u00e9montrer qu\u2019ils disposent d\u2019une visibilit\u00e9 suffisante sur les cyber-risques auxquels l\u2019organisation est expos\u00e9e, qu\u2019ils ont approuv\u00e9 des mesures appropri\u00e9es, qu\u2019ils en supervisent la mise en \u0153uvre et qu\u2019ils disposent des connaissances suffisantes pour exercer effectivement cette responsabilit\u00e9.<\/p>\n<p style=\"font-weight: 400;\">La cybers\u00e9curit\u00e9 constitue ainsi non seulement un risque technique, mais \u00e9galement une responsabilit\u00e9 en mati\u00e8re de gouvernance et de gestion.<\/p>\n<p style=\"font-weight: 400;\">Les organisations qui int\u00e8grent structurellement la cybers\u00e9curit\u00e9 dans leurs processus d\u00e9cisionnels, leurs m\u00e9canismes de reporting et la formation des membres de leurs organes de direction sont d\u00e8s lors mieux \u00e0 m\u00eame non seulement de ma\u00eetriser les cyber-risques, mais \u00e9galement de d\u00e9montrer leur conformit\u00e9 aux obligations qui leur incombent en vertu de la directive NIS2.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>\u00c0 retenir La cybers\u00e9curit\u00e9 ne rel\u00e8ve plus de la seule responsabilit\u00e9 du d\u00e9partement IT. En vertu de la loi belge transposant la directive NIS2, les organes de direction doivent approuver les mesures de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9 et en superviser la mise en \u0153uvre. Cette responsabilit\u00e9 ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e. Un [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":19127,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61,82],"tags":[71,121],"post_folder":[],"class_list":["post-19240","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","category-video","tag-droit-numerique","tag-nis2-fr"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/19240","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=19240"}],"version-history":[{"count":4,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/19240\/revisions"}],"predecessor-version":[{"id":19245,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/19240\/revisions\/19245"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/19127"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=19240"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=19240"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=19240"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=19240"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}