NIS2 et DORA : ce que change la responsabilité du dirigeant
Avec NIS2 et DORA, la cybersécurité cesse d'être un sujet technique. La responsabilité remonte à la direction, avec des obligations de gouvernance et des sanctions personnelles possibles. Ce n'est plus une question de pare-feu.
Pendant longtemps, la cybersécurité s'est organisée autour d'une délégation implicite : la direction fixe le budget, la DSI porte le risque. Deux textes européens ont changé cette répartition.
La directive NIS2, dont la transposition était attendue à partir d'octobre 2024, et le règlement DORA, applicable depuis le 17 janvier 2025 pour le secteur financier, déplacent la responsabilité vers les organes de direction. Non pas comme une intention, mais comme une obligation dont on peut demander des comptes.
Ce que NIS2 change
- Un périmètre élargi : de nombreux secteurs qui n'étaient pas concernés le deviennent, directement ou via leurs fournisseurs.
- Une obligation de gouvernance : les organes de direction approuvent les mesures de gestion des risques et en surveillent l'application.
- Une responsabilité personnelle : selon les transpositions nationales, la responsabilité des dirigeants peut être engagée.
- Une chaîne de sous-traitance : la sécurité des fournisseurs entre dans le périmètre de l'obligation.
Ce que DORA change
DORA vise la résilience opérationnelle numérique du secteur financier. Trois apports structurants : la gestion du risque lié aux prestataires critiques, les tests de résilience, et le partage d'information sur les incidents.
Le point le plus opérationnel est le registre des prestataires : une entité financière doit connaître ses dépendances, les contractualiser et pouvoir démontrer sa capacité à continuer à opérer en cas de défaillance.
« Si notre prestataire critique tombe pendant trois jours, que se passe-t-il, et qui décide ? » Si la réponse n'est pas écrite et testée, la résilience est déclarative.
Trois conséquences concrètes
1. Le risque devient un sujet de comité
Pas une revue annuelle : un point régulier, avec des indicateurs, des incidents et des décisions. La direction doit pouvoir démontrer qu'elle a été informée et qu'elle a arbitré.
2. Les contrats changent
Les clauses de sécurité, de notification d'incident, d'audit et de réversibilité deviennent des éléments de conformité, pas des négociations de confort.
3. La sous-traitance entre dans le périmètre
On ne peut plus considérer qu'un fournisseur « gère sa sécurité ». Il faut pouvoir le vérifier, et documenter cette vérification.
Ce qu'il faut retenir
NIS2 et DORA ne demandent pas de nouvelles technologies. Ils demandent une nouvelle répartition de la responsabilité : la direction cesse d'être informée pour devenir accountable. Les organisations qui l'anticipent transforment une contrainte en avantage — elles savent enfin quelles sont leurs dépendances critiques.
« La cybersécurité n'était pas un sujet de direction tant que personne ne demandait de comptes à la direction. »