Responsabilité des dirigeants NIS2 : l'article 20

Avec la directive NIS2, la cybersécurité quitte le bureau du DSI pour arriver sur celui du dirigeant. L’article 20 fait de l’organe de direction — comité de direction, conseil d’administration, gérant — le responsable juridique des mesures de sécurité, avec une obligation personnelle de se former. Dans mon expérience de conseil auprès de dirigeants de PME, c’est le point du texte qui surprend le plus : on ne peut plus « déléguer la conformité à l’IT ». Voici ce que l’article 20 exige exactement, et ce qu’il faut mettre en place.

Ce que dit vraiment l’article 20 de NIS2

L’article 20 de la directive (UE) 2022/2555 (NIS2) tient en deux paragraphes, mais il déplace le centre de gravité de toute la conformité cyber.

Article 20(1) : les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques de cybersécurité prises pour se conformer à l’article 21, supervisent leur mise en œuvre, et puissent être tenus responsables des manquements de l’entité à cet article.

Article 20(2) : les membres des organes de direction sont tenus de suivre une formation et les entités sont encouragées à offrir une formation comparable à leurs salariés, afin d’acquérir des connaissances suffisantes pour identifier les risques et évaluer les pratiques de gestion des risques cyber.

Trois verbes structurent donc l’obligation : approuver, superviser, se former. À quoi s’ajoute un principe qui, lui, change la nature du risque juridique : la responsabilité de la direction peut être engagée. Ce n’est pas une posture rhétorique — c’est le texte.

Une précision de méthode s’impose d’emblée. NIS2 est une directive : elle ne s’applique pas directement aux entreprises françaises, elle impose aux États de transposer ces obligations en droit national. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Au moment où j’écris ces lignes (juillet 2026), ce texte n’est pas encore promulgué : adopté en première lecture au Sénat en mars 2025, il s’est enlisé dans le circuit parlementaire. La France a d’ailleurs manqué l’échéance de transposition du 17 octobre 2024, ce qui lui a valu une procédure d’infraction de la Commission européenne (avis motivé du 7 mai 2025), susceptible de déboucher sur une saisine de la Cour de justice de l’Union européenne. Concrètement : les obligations de l’article 20 deviendront pleinement contraignantes en droit français une fois la loi publiée, mais leur contenu est déjà connu et ne changera pas sur le fond. Anticiper n’est pas prématuré — c’est prudent.

Pourquoi c’est une rupture par rapport à NIS1

Sous la première directive NIS, la cybersécurité restait un dossier technique : environ 300 opérateurs concernés en France, une logique d’opérateurs d’importance vitale, et une responsabilité qui remontait rarement jusqu’au conseil. NIS2 change trois paramètres à la fois.

D’abord le périmètre : l’ANSSI, désignée comme autorité nationale compétente, estime qu’environ 15 000 entités françaises entrent dans le champ de NIS2 — cliniques, PME logistiques, collectivités, industriels, fournisseurs de services numériques. Beaucoup ne se pensaient pas « critiques ». Pour savoir si vous êtes concerné, la première étape reste de vérifier votre qualification d’entité essentielle ou importante, car elle commande l’intensité de vos obligations.

Ensuite la responsabilisation : là où NIS1 s’adressait à l’organisation, NIS2 nomme un responsable — l’organe de direction. La cybersécurité devient un sujet de gouvernance, au même titre que la sincérité des comptes ou la conformité RGPD.

Enfin le régime de contrôle : les autorités peuvent auditer, mettre en demeure, sanctionner l’entité et viser personnellement les dirigeants. Je détaille ce volet répressif dans un article dédié aux pénalités et sanctions NIS2 ; retenez ici que l’article 20 est la porte d’entrée de ce régime, parce qu’il crée l’obligation dont le manquement est sanctionné.

Les quatre obligations concrètes de l’organe de direction

L’article 20 se lit comme une exigence de principe. En pratique, il se décline en quatre devoirs opérationnels que l’ANSSI vérifiera lors des contrôles.

1. Approuver formellement les mesures de gestion des risques

L’organe de direction doit approuver les mesures techniques et organisationnelles prises au titre de l’article 21 (ces dix catégories de mesures de sécurité : analyse de risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, chiffrement, contrôle d’accès, etc.).

« Approuver » a un sens juridique précis : il ne s’agit pas d’un accord implicite donné en marge d’une réunion. C’est une décision documentée, tracée dans un procès-verbal, ratifiée par l’organe compétent. En cas de contrôle, la question de l’ANSSI sera simple : « Montrez-moi la délibération qui approuve votre politique de sécurité. » L’absence de trace vaut absence d’approbation.

2. Superviser la mise en œuvre dans la durée

Approuver est un acte ponctuel ; superviser est un engagement continu. La direction doit recevoir et examiner régulièrement des rapports sur l’état de la gestion des risques : incidents survenus, avancement du plan de remédiation, efficacité réelle des mesures approuvées. Une revue trimestrielle inscrite à l’ordre du jour du comité de direction, avec compte rendu écrit, constitue le socle minimal de preuve. La supervision ne se présume pas : elle se documente.

3. Se former — personnellement et régulièrement

C’est l’apport le plus original de l’article 20(2). Chaque membre de l’organe de direction doit suivre une formation lui donnant une connaissance suffisante des risques cyber pour pouvoir approuver et superviser en connaissance de cause. La formation doit être adaptée au secteur et au rôle, et surtout documentée (attestations, contenu, dates). Un webinaire d’une heure ne suffit pas à démontrer une montée en compétence réelle.

Le texte va plus loin : il encourage à étendre une formation comparable aux salariés. C’est cohérent avec la logique de l’article 21, et c’est l’occasion d’articuler l’obligation NIS2 avec un programme de sensibilisation à la sécurité déjà en place au titre du RGPD.

4. Allouer les ressources et fixer le cap

Approuver des mesures sans budget est un vœu pieux. L’organe de direction doit allouer des ressources proportionnées à la criticité de l’activité et fixer les objectifs de sécurité de l’organisation. « Proportionné » n’est pas chiffré par le texte, mais la décision d’allocation doit, elle aussi, être visible et documentée comme un arbitrage de gouvernance.

La responsabilité personnelle : jusqu’où va-t-elle ?

C’est la question que tout dirigeant me pose. La réponse tient en une distinction essentielle, souvent mal comprise : le régime n’est pas le même pour les entités essentielles et pour les entités importantes.

Pour les entités essentielles, la directive prévoit, en cas de manquement persistant, des pouvoirs de contrainte lourds : suspension temporaire d’une certification ou d’une autorisation, et surtout possibilité de demander l’interdiction temporaire, pour un dirigeant (niveau directeur général ou représentant légal), d’exercer des fonctions de direction au sein de l’entité. C’est une forme de disqualification de fait, prononcée jusqu’à ce que l’entité corrige les défaillances constatées.

Pour les entités importantes, le régime est plus léger : la supervision est essentiellement ex post (déclenchée par un incident ou une plainte), et l’interdiction temporaire de gérer n’est pas prévue. La distinction essentielle/importante n’est donc pas qu’une affaire de seuils : elle détermine l’exposition personnelle des dirigeants.

À cela s’ajoutent les amendes administratives, qui frappent l’entité mais dont le dirigeant répond au titre de la gouvernance : jusqu’à 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, jusqu’à 7 M€ ou 1,4 % pour une entité importante (le montant le plus élevé étant retenu). Enfin, en cas de négligence grave — un risque connu, signalé, resté sans réponse — la voie pénale de droit commun reste ouverte selon la façon dont la France transposera le texte.

Un point mérite d’être souligné pour rassurer sans désarmer : la responsabilité de l’article 20(1) est rattachée aux manquements à l’article 21. Un dirigeant qui a approuvé des mesures sérieuses, en supervise la mise en œuvre et conserve les traces de cette diligence se place dans une position défendable. À l’inverse, l’absence totale de gouvernance documentée est le scénario le plus risqué.

Feuille de route : structurer la gouvernance NIS2 en pratique

L’erreur la plus fréquente consiste à traiter NIS2 comme un audit technique à cocher. L’article 20 exige d’abord une restructuration de la gouvernance. Voici l’ossature que je recommande.

Commencez par désigner un responsable de la coordination — un rôle identifié, pas « le RSSI en plus de ses tâches ». Cette personne consolide les informations de sécurité et prépare les décisions de la direction.

Créez ensuite une instance de pilotage (un comité NIS2, ou un point permanent au comité de direction) qui se réunit à intervalles réguliers, avec ordre du jour et compte rendu. C’est cette instance qui approuve les mesures et en supervise la mise en œuvre.

Documentez tout : la délibération d’approbation de la politique de sécurité, les comptes rendus de supervision, les attestations de formation des dirigeants, les décisions d’allocation de ressources. En matière de conformité, ce qui n’est pas écrit n’existe pas. Recenser et tenir à jour l’inventaire des mesures, des traitements et des preuves est précisément le type de travail que des outils comme Legiscope permettent de centraliser, pour que la direction dispose d’une vision consolidée et opposable en cas de contrôle.

Formez l’organe de direction avant les équipes, puis étendez la sensibilisation. Une direction formée pose de meilleures questions et arbitre mieux les priorités.

Enfin, enregistrez votre entité sur la plateforme de l’ANSSI. La démarche de pré-enregistrement NIS2 auprès de l’ANSSI via MonEspaceNIS2 est le premier acte visible de conformité, et un bon déclencheur pour formaliser la gouvernance en interne.

Pour les dirigeants de PME qui découvrent l’ampleur du sujet, NIS2 s’inscrit dans un ensemble plus large d’obligations numériques du dirigeant — RGPD, facturation électronique, AI Act — qu’il est utile de piloter de façon coordonnée plutôt qu’en silos.

Ce qu’il faut retenir

• L’article 20 rend la cybersécurité non délégable : l’organe de direction doit approuver les mesures de l’article 21, superviser leur mise en œuvre et se former personnellement.
• La responsabilité de la direction peut être engagée pour les manquements à l’article 21 — c’est l’innovation majeure de NIS2 par rapport à NIS1.
• Entités essentielles vs importantes : seules les premières exposent leurs dirigeants à une interdiction temporaire d’exercer des fonctions de direction ; le régime des secondes est plus léger et essentiellement ex post.
• La preuve est reine : approbation documentée, supervision tracée, formations attestées, ressources allouées. Sans écrit, pas de diligence démontrable.
• En France, l’obligation deviendra pleinement contraignante une fois la loi de transposition promulguée (attendue après juillet 2026), mais son contenu est déjà stabilisé : anticiper est la bonne stratégie.

FAQ

L’article 20 de NIS2 s’applique-t-il déjà en France ?

La directive NIS2 devait être transposée avant le 17 octobre 2024, mais la loi française relative à la résilience des infrastructures critiques n’est pas encore promulguée à l’été 2026. Les obligations de l’article 20 deviendront pleinement contraignantes en droit national dès la publication du texte ; leur contenu étant connu et stable, il est recommandé de s’y préparer sans attendre.

Un dirigeant peut-il déléguer sa responsabilité NIS2 au DSI ou au RSSI ?

Non pour l’obligation de gouvernance. Le dirigeant peut confier l’exécution opérationnelle à un RSSI, mais l’approbation des mesures, leur supervision et l’obligation de formation restent attachées à l’organe de direction. C’est une responsabilité de gouvernance, par nature non transférable.

Quelles sanctions personnelles un dirigeant risque-t-il sous NIS2 ?

Pour une entité essentielle, l’autorité peut demander l’interdiction temporaire d’exercer des fonctions de direction, en plus des amendes visant l’entité (jusqu’à 10 M€ ou 2 % du CA mondial). Les entités importantes ne sont pas concernées par cette interdiction. Le détail figure dans notre analyse des pénalités NIS2.

La formation des dirigeants est-elle vraiment obligatoire ?

Oui. L’article 20(2) impose aux membres de l’organe de direction de suivre une formation leur donnant une connaissance suffisante des risques cyber. Elle doit être adaptée au rôle et documentée, car c’est un élément de preuve attendu lors des contrôles de l’ANSSI.

Comment prouver que la direction a bien approuvé et supervisé les mesures ?

Par des écrits : procès-verbal d’approbation de la politique de sécurité, comptes rendus des revues périodiques de supervision, attestations de formation, décisions budgétaires. En conformité, l’absence de trace équivaut à une absence de diligence.