LPM 2024-2030 et responsabilité du dirigeant : le troisième niveau du risque cyber
Au-delà du cadre européen détaillé dans le volet précédent de ce dossier (RGPD, DORA, NIS2, Cyber Resilience Act), la France dispose d'un troisième niveau de régulation, plus discret mais bien réel : la loi de programmation militaire, porteuse d'un régime domestique de cyberdéfense, et un corpus juridique qui expose personnellement les dirigeants en cas de défaillance. Ce cinquième volet du dossier cyberattaques 2026 en détaille les conséquences pour les Comex.
Loi de programmation militaire 2024-2030 : le socle régalien de la cyberdéfense française
Moins commentée que le RGPD ou NIS2, la LPM pour les années 2024 à 2030, qui ne nécessite pas de transposition, comporte un volet cyber substantiel. Elle étend les pouvoirs de l'ANSSI pour détecter, caractériser et neutraliser les cyberattaques les plus graves, en mobilisant à cette fin les opérateurs de communications électroniques, fournisseurs d'accès à Internet, hébergeurs, opérateurs de centres de données et bureaux d'enregistrement de noms de domaine, dispositifs de détection de marqueurs techniques de compromission, blocage ou redirection de noms de domaine malveillants.
Elle impose par ailleurs aux éditeurs de logiciels établis en France, gratuits ou payants, SaaS inclus, de signaler à l'ANSSI toute vulnérabilité significative ou tout incident affectant leurs produits, obligation codifiée à l'article L. 2321-4-1 du Code de la défense ; à défaut de correction dans le délai imparti, l'ANSSI peut alerter directement les utilisateurs ou rendre la faille publique[1].
Cette loi vient d'être actualisée.
La loi n° 2026-791 du 16 août 2026, actualisant la programmation militaire pour les années 2024 à 2030, a été promulguée après validation par le Conseil constitutionnel (décision n° 2026-907 DC du 6 août 2026), au terme d'une procédure accélérée engagée par le Gouvernement le 8 avril 2026. Portée par la dégradation du contexte sécuritaire international, cette actualisation ajoute 36 milliards d'euros de ressources nouvelles pour la période 2026-2030, portant le montant total programmé pour la mission « Défense » à 436 milliards d'euros courants sur l'ensemble de la période 2024-2030[2].
Responsabilité juridique du dirigeant : un risque personnel de plus en plus concret
Le cadre juridique français permet d'engager la responsabilité personnelle du dirigeant en cas de cyberattaque, à plusieurs niveaux :
Responsabilité civile pour faute de gestion (article 1240 du Code civil ; articles L.225-251 du Code de commerce pour les SA, L.223-22 pour les SARL) lorsque des mesures de sécurité manifestement insuffisantes sont restées en place malgré des alertes ;
Rresponsabilité pénale (mise en danger d'autrui, article 223-1 du Code pénal ;
Négligence caractérisée en matière de protection des données, article 226-17) ; et
Responsabilité au titre du RGPD lui-même en cas de défaut de notification (article 83.4).
La cour d'appel de Paris a confirmé, le 5 mars 2026, le licenciement d'un ancien directeur général adjoint pour manquements avérés en matière de cybersécurité, combinés à des défaillances dans la gestion d'un projet informatique sensible ; une décision qui illustre, dans le champ du droit du travail, la matérialisation concrète de cette exigence de diligence[3].
Ce panorama juridique complet, européen et français, trouve sa traduction opérationnelle dans le sixième et dernier volet de ce dossier, consacré au ROI cyber et à huit leviers d'action chiffrés pour l'arbitrage Comex.
Ce qu'il faut retenir
Un dirigeant peut-il être tenu personnellement responsable d'une cyberattaque ?
Oui, dans certaines conditions : en cas de faute de gestion caractérisée (mesures de sécurité manifestement insuffisantes malgré des alertes), sa responsabilité civile et pénale peut être engagée. Pour les entités financières, DORA prévoit en outre des sanctions personnelles pouvant atteindre 1 million d'euros.
Cet article est le cinquième d’une série de 6 articles consacrés aux cyberattaques. Consulter les autres articles
Votre responsabilité de dirigeant dépend de la solidité de vos mesures de sécurité, pas de vos intentions.
La Robe Numérique accompagne les Comex et RSSI dans la mise en conformité NIS2 et CRA, la conduite d'exercices de crise cyber et l'audit de maturité cyber, pour transformer une obligation juridique en dispositif de preuve opposable.
Sources
Loi n° 2023-703 du 1er août 2023 et loi n° 2026-791 du 16 août 2026 (LPM 2024-2030) ; Code de la défense, art. L. 1332-1 et s. et L. 2321-4-1
Sénat, rapport d'information n° 22-638 ; Légifrance, avis CNIL n° 2024-0369 du 28 février 2024
Cour d'appel de Paris, arrêt du 5 mars 2026
[1] ANSSI, cyber.gouv.fr ; Légifrance, avis CNIL n° 2024-0369 du 28 février 2024
[2] Sénat, dossier législatif ; Légifrance, loi n° 2026-791 du 16 août 2026, modifiant l'article 4 de la loi du 1er août 2023
[3] cour d'appel de Paris, arrêt du 5 mars 2026
