NIS2, DORA, ISO 27001 : la responsabilité des dirigeants en cybersécurité va bien au-delà des équipes IT
Pendant longtemps, la cybersécurité a été traitée comme un sujet technique, délégué au DSI ou au RSSI, et suivi de loin par la direction générale. NIS2, DORA et ISO 27001 changent cette donne : les trois cadres organisent, chacun à sa façon, une responsabilité du dirigeant cybersécurité qui ne se délègue plus entièrement. Approbation formelle des mesures de sécurité, formation obligatoire des instances de direction, sanctions personnelles en cas de négligence caractérisée : la conformité cyber devient un sujet de gouvernance, au même titre que les comptes ou le contrôle interne. Pour les dirigeants de PME et d'ETI, la question n'est plus de savoir si ces textes les concernent, mais ce qu'ils doivent personnellement mettre en œuvre, documenter et pouvoir prouver.
Ce que NIS2, DORA et ISO 27001 font peser sur la responsabilité personnelle des dirigeants
Les trois référentiels ne portent pas le même statut juridique (une directive, un règlement européen d'application directe, une norme volontaire), mais ils convergent sur un point : ils nomment l'organe de direction comme responsable, et plus seulement l'équipe technique.
Des obligations NIS2 dirigeants explicitement formulées
L'article 20 de la directive NIS2 impose aux organes de direction des entités essentielles et importantes :
d'approuver formellement les mesures de gestion des risques cyber, de façon traçable (procès-verbaux, décisions documentées) ;
de superviser leur mise en œuvre dans la durée, et pas seulement au moment de leur adoption ;
de suivre une formation régulière, individuelle et documentée, permettant d'évaluer les risques et leurs conséquences pour l'activité ;
de porter la politique de sécurité de l'information, y compris ses arbitrages budgétaires.
En cas de manquement grave, la directive prévoit, pour les entités essentielles, des mesures pouvant aller jusqu'à la suspension temporaire d'autorisation d'exercer ou l'interdiction, pour la personne physique responsable, d'exercer des fonctions de direction. À date, la loi française de transposition de NIS2 n'a toujours pas été adoptée. Le texte reste bloqué à l'Assemblée nationale, et la Commission européenne a saisi la Cour de justice de l'Union européenne à l'été 2026 pour ce retard. Cela ne dispense pas les dirigeants d'anticiper : l'ANSSI encourage les organisations à s'y préparer sans attendre les décrets d'application. C’est d’ailleurs tout l’objectif poursuivi par le référentiel ReCyf qui prévoit 20 objectifs de sécurité, parmi lesquels figure celui visant à mettre en œuvre un cadre de gouvernance de la sécurité.
DORA : une responsabilité « ultime » assumée par l'organe de direction
Pour le secteur financier et ses prestataires critiques, DORA est en vigueur depuis janvier 2025 et va plus loin encore. Son article 5 attribue explicitement à l'organe de direction la responsabilité ultime de la gestion du risque lié aux technologies de l'information et de la communication (TIC). Concrètement, il doit approuver et revoir périodiquement le cadre de gestion du risque TIC, la politique de continuité d'activité, les plans de réponse aux incidents, le plan d'audit TIC et la politique de recours aux prestataires tiers, tout en allouant un budget dédié à la formation de ses propres membres.
ISO 27001 : le leadership comme exigence de certification
La norme ISO 27001:2022 formalise la même logique dans sa clause 5 : la direction doit démontrer un engagement actif, intégrer la sécurité de l'information dans la stratégie de l'entreprise, allouer les ressources nécessaires et assumer la responsabilité du système de management. Sans cet engagement documenté, aucune certification n'est délivrée.
Des décisions cyber qui ne peuvent plus rester dans les seules mains des équipes techniques
Ce que ces textes ont en commun, au fond, c'est qu'ils requalifient certaines décisions techniques en décisions de gouvernance. Un RSSI ou un prestataire externe peut évaluer un risque, proposer des mesures, chiffrer un budget. Mais il ne peut pas, à la place du dirigeant :
accepter un niveau de risque résiduel pour l'organisation ;
arbitrer entre un investissement en sécurité et un autre investissement stratégique ;
valider le choix, ou le maintien, d'un prestataire critique dont la défaillance exposerait l'activité ;
décider du niveau de tolérance à l'indisponibilité d'un service essentiel ;
engager l'entreprise, en cas de crise, sur une communication publique ou une notification aux autorités.
Ces arbitrages engagent l'entreprise et, potentiellement, son dirigeant à titre personnel. Les laisser reposer sur les seules équipes techniques, aussi compétentes soient-elles, revient à faire porter à un tiers une décision que la loi attribue à la gouvernance. C'est précisément ce que les régulateurs et les juridictions examineront en cas d'incident : la décision a-t-elle remonté au bon niveau, a-t-elle été documentée, la direction disposait-elle des informations pour l'éclairer ?
Les obligations de gouvernance formalisée que les textes imposent concrètement
Au-delà des principes, NIS2, DORA et ISO 27001 attendent des preuves documentaires précises. A noter qu'en cas de chevauchement entre NIS 2 et ISO 27001, c'est NIS 2 qui prime par son statut de réglementation. Toutefois en cas de conflit entre l'application de NIS 2 et DORA, c'est ce dernier qui est prioritaire car possédant le lex specialis.
Trois chantiers reviennent systématiquement.
Une politique de sécurité approuvée, datée et diffusée
Il ne s'agit pas d'un document de principe rédigé une fois pour toutes, mais d'une politique revue périodiquement, approuvée formellement par la direction, communiquée aux équipes et alignée sur la stratégie de l'entreprise. C'est la première pièce que tout auditeur, tout assureur ou toute autorité de contrôle demandera.
Un exercice de crise réellement mené, pas seulement planifié
La gestion de crise ne se limite pas à un plan de continuité rangé dans un classeur. NIS2 et DORA attendent des exercices réguliers, avec la participation effective de la direction, permettant de tester la remontée d'information, la prise de décision sous contrainte de temps et la communication de crise. Un exercice non documenté équivaut, aux yeux d'un contrôle, à une absence d'exercice.
Le contrôle des fournisseurs et de la chaîne d'approvisionnement
La sécurité d'une entreprise dépend de plus en plus de ses prestataires informatiques, hébergeurs et sous-traitants. NIS2 impose d'évaluer et de surveiller ce risque fournisseur ; DORA exige une politique formalisée de recours aux prestataires TIC critiques, avec une cartographie contractuelle précise. Pour une PME ou une ETI, cela implique de revoir ses contrats existants, souvent silencieux sur ces points.
RSSI interne ou RSSI externalisé PME : quels critères de décision ?
Face à ces obligations, une question revient systématiquement chez les dirigeants de PME et d'ETI : faut-il recruter un RSSI en interne, ou s'appuyer sur un RSSI externalisé PME ? Il n'y a pas de réponse unique, mais des critères objectifs pour trancher :
La taille et la maturité de l'organisation : en dessous d'un certain seuil de systèmes d'information, un RSSI à temps plein est rarement justifié économiquement.
La disponibilité de compétences rares : le marché du RSSI qualifié est tendu ; un RSSI externalisé PME mutualise une expertise que peu de PME peuvent s'offrir seules.
Le secteur d'activité et le niveau de régulation : une entité essentielle au sens de NIS2, ou une entité financière soumise à DORA, a besoin d'un accompagnement structuré et récurrent, pas seulement ponctuel.
La continuité et l'indépendance du regard porté sur les risques : un RSSI externalisé apporte un regard extérieur, moins soumis aux arbitrages internes de court terme, ce qui rassure souvent les organes de direction eux-mêmes.
Le budget disponible et sa prévisibilité : l'externalisation permet de lisser un coût que le recrutement rendrait fixe et plus difficile à ajuster.
Dans les deux cas, la responsabilité de la gouvernance reste celle du dirigeant : un RSSI, interne ou externe, éclaire la décision, il ne la remplace pas.
Pourquoi l'accompagnement juridique est inséparable de l'accompagnement technique
C'est le point le plus souvent sous-estimé : NIS2, DORA et ISO 27001 ne sont pas que des référentiels techniques, ce sont des textes de droit, assortis de sanctions, de régimes de responsabilité et d'obligations contractuelles. Une mesure technique bien conçue mais mal qualifiée juridiquement (un contrat fournisseur silencieux sur les obligations de sécurité, une notification d'incident mal calibrée, une politique de sécurité qui n'engage pas clairement la responsabilité du dirigeant au bon niveau de gouvernance) expose l'entreprise autant qu'une faille technique.
Anticiper plutôt que subir
NIS2, DORA et ISO 27001 dessinent la même trajectoire : la cybersécurité quitte la salle serveur pour s'installer dans les comités de direction. Pour un dirigeant de PME ou d'ETI, attendre la promulgation définitive des textes, ou un premier contrôle, pour agir revient à prendre un risque évitable, à la fois opérationnel et personnel. Auditer sa situation dès maintenant, formaliser sa gouvernance cyber et sécuriser juridiquement ses décisions reste la seule approche qui tienne face à un incident ou un contrôle.
Vous souhaitez évaluer la responsabilité dirigeant cybersécurité de votre organisation ?
La Robe Numérique associe, dans une même équipe, le conseil en gestion des risques numériques et l'expertise juridique de La Robe Numérique Avocat, cabinet d'avocats expert en droit du numérique. Cette double compétence permet de traiter, dans le même mouvement, la mise en conformité technique et sa traduction en obligations contractuelles, en gouvernance documentée et en défense juridique en cas de contrôle ou de contentieux.
Contactez notre équipe pour un diagnostic combiné de vos obligations NIS2, de votre trajectoire ISO 27001 et de votre conformité DORA, avec un accompagnement conjoint technique et juridique.