OUTIL GRATUIT
Que demande NIS2 à l’organe de direction lui-même ?
Selon la loi belge NIS2 du 26 avril 2024, l’organe de direction approuve en tant qu’organe les mesures de gestion des risques de cybersécurité et les supervise. Ses membres suivent eux-mêmes une formation sur le risque cyber. Ils sont personnellement responsables si l’entreprise ne se conforme pas, et les entités essentielles qui manquent les délais imposés risquent une interdiction temporaire.
Note NIS2, devoir de l’organe de direction : Votre entreprise
Ce que l’organe de direction lui-même approuve, supervise et assume sous la loi belge NIS2 du 26 avril 2024.
1. Approuver les mesures, en tant qu’organe, avec une date
L’organe de direction (pas un seul administrateur agissant seul) approuve les mesures de gestion des risques de cybersécurité de l’entreprise et en supervise la mise en œuvre. Chaque membre répond de cette approbation. Elle doit donc figurer à l’ordre du jour d’une réunion du conseil ou de la direction, avec une date au procès-verbal, pas dans une seule boîte mail (art. 31, § 1 de la loi belge NIS2 ; art. 20, § 1 de la directive UE).
2. Les membres de l’organe de direction suivent eux-mêmes une formation
La loi ne demande pas au conseil d’approuver un budget de formation pour d’autres. Ses propres membres doivent suivre une formation pour identifier les risques de cybersécurité et juger comment les mesures affectent les services fournis par l’entreprise (art. 31, § 2 ; art. 20, § 2). La loi ne fixe ni programme, ni durée, ni prestataire agréé. Selon la FAQ du CCB, chaque entité détermine elle-même le contenu et la durée, et le CCB ne recommande pas de programmes spécifiques.
3. Responsabilité personnelle
Toute personne physique responsable d’une entité essentielle ou importante, ou agissant comme son représentant légal, est personnellement responsable de veiller au respect de la loi par l’entreprise (art. 61). La signature d’un partenaire ou d’un prestataire IT sur une politique ne déplace pas cette responsabilité : elle reste chez ceux qui peuvent représenter, engager ou contrôler l’entité.
4. Entités essentielles uniquement : l’interdiction temporaire
Cette sanction spécifique (art. 60) ne s’applique qu’aux entités essentielles. Pour une entité importante, la supervision est réactive, en général déclenchée après un incident plutôt que par un audit préalable.
Qui est exactement « l’organe de direction » ?
La directive NIS2 elle-même ne définit pas le terme. La FAQ du CCB sur NIS2 en Belgique cite l’exposé des motifs de la loi belge NIS2 : toute personne qui peut administrer ou représenter l’entité, toute personne qui prend (ou participe à prendre) des décisions juridiquement contraignantes pour elle, et toute personne qui la contrôle, c’est-à-dire une influence décisive sur la nomination de la majorité de ses administrateurs ou sur la direction de sa gestion. Une personne morale qui occupe l’un de ces rôles est examinée avec son propre organe de direction.
Cette note s’imprime en une page via « Imprimer ou enregistrer en PDF » ci-dessous.
Que demande exactement la loi à l’organe de direction ?
Quatre devoirs distincts incombent à l’organe de direction, pas à un partenaire IT ni à un seul administrateur. Un : approuver les mesures de gestion des risques de cybersécurité de l’entreprise et superviser leur mise en œuvre (art. 31, § 1 de la loi belge NIS2, art. 20, § 1 de la directive UE [1][2]). Deux : suivre soi-même une formation en cybersécurité, pour identifier les risques et juger leur effet sur les services de l’entreprise (art. 31, § 2, art. 20, § 2). Trois : répondre personnellement si l’entreprise ne se conforme pas (art. 61). Quatre, pour les entités essentielles uniquement : risquer une interdiction temporaire pour le CEO ou le représentant légal si des mesures ordonnées ne sont pas prises à temps (art. 60, combiné à l’art. 52).
Qui compte exactement comme « l’organe de direction » n’est pas défini dans la directive elle-même. Le Centre pour la Cybersécurité Belgique (CCB) y répond dans sa propre FAQ sur NIS2 en Belgique [3], en citant l’exposé des motifs de la loi belge : toute personne qui peut administrer ou représenter l’entité, toute personne qui prend des décisions juridiquement contraignantes pour elle ou participe à leur adoption, et toute personne qui la contrôle.
À quoi ressemble une note sur les devoirs du conseil ?
Indiquez un nom d’entreprise et, si vous le savez, s’il s’agit d’une entité essentielle ou importante. L’outil ci-dessous produit une note d’une page sur les quatre devoirs ci-dessus. La section sur l’interdiction temporaire (art. 60) n’apparaît que pour les entités essentielles, car elle ne s’applique pas aux importantes. Imprimez la note ou enregistrez-la en PDF, et remettez-la au conseil avant la prochaine réunion dont l’ordre du jour porte sur des mesures de sécurité.
Un exemple : le CEO d’une entreprise de logistique de 90 personnes signe seul une nouvelle politique de sécurité et dit aux autres administrateurs qu’ils n’ont pas besoin de la lire. Cela ne satisfait pas l’art. 31, § 1. L’approbation et la supervision reviennent au conseil dans son ensemble, avec une date au procès-verbal, et chaque administrateur en répond, quel que soit le signataire.
Pas encore sûr si l’entreprise est essentielle, importante ou hors champ ? Faites d’abord le test de champ NIS2 , et consultez les amendes sur le calculateur d’amende NIS2 .
Besoin d’un document à apporter en réunion ? La note gratuite au conseil sur NIS2 et CyFun met ces cinq points sur papier, avec les niveaux CyFun.
Questions fréquentes
- Qui est exactement « membre de l’organe de direction » sous NIS2 ?
- La directive ne le définit pas. La FAQ du CCB cite l’exposé des motifs de la loi belge : toute personne qui peut administrer ou représenter l’entité, toute personne qui prend (ou participe à prendre) des décisions juridiquement contraignantes pour elle, et toute personne qui la contrôle par une influence décisive sur la nomination de ses administrateurs ou sur la direction de sa gestion [3].
- Le partenaire IT ou le MSP porte-t-il une part de cette responsabilité ?
- Non. L’approbation, la supervision et la responsabilité personnelle au titre de l’art. 61 reviennent aux personnes physiques qui peuvent représenter, engager ou contrôler l’entité, pas à un prestataire de services, aussi technique que soit son travail.
- Quelle formation la loi exige-t-elle exactement ?
- Les membres de l’organe de direction doivent suivre une formation pour identifier les risques de cybersécurité et évaluer les pratiques de gestion des risques et leur effet sur les services de l’entreprise (art. 31, § 2). La loi ne fixe ni programme, ni durée, ni prestataire agréé ; le CCB indique que chaque entité détermine elle-même le contenu et la durée, et qu’il ne recommande pas de programmes spécifiques.
- Un administrateur peut-il vraiment se voir interdire de diriger l’entreprise ?
- Pour les entités essentielles uniquement, et seulement si des mesures de cybersécurité ordonnées n’ont pas été prises dans le délai fixé, pas automatiquement après un incident. Le CEO ou le représentant légal peut se voir interdire temporairement l’exercice de fonctions de direction, avec une possible suspension d’une certification ou d’une autorisation (art. 60, combiné à l’art. 52).
- Cela s’applique-t-il de la même façon à une entité importante ?
- Les devoirs d’approbation, de supervision et de formation (art. 31, § 1-2) et la responsabilité personnelle (art. 61) s’appliquent aux entités essentielles et importantes. La sanction d’interdiction temporaire (art. 60) ne concerne que les entités essentielles ; les entités importantes sont supervisées de façon réactive, en général après un incident.
Autres outils gratuits
- Test de champ NIS2 Secteur, taille et une étape sur la chaîne d’approvisionnement : voyez en deux minutes environ si une entreprise est une entité NIS2 essentielle ou importante, ou hors champ, et quels secteurs clients transmettent des exigences malgré tout.
- Calculateur d’amende NIS2 Choisissez ce que la loi belge NIS2 fait de votre entreprise et indiquez le chiffre d’affaires du groupe. Voyez l’amende maximale permise.
2026-11-03
Calculé avec l’outil gratuit sur https://easycyberprotection.com/fr/learn/tools/nis2-board-duties/, par Easy Cyber Protection.
#CYBERLEARN