NIS2 et DORA : comment ces directives décuplent votre responsabilité

Pendant longtemps, la cybersécurité réglementaire ne concernait qu'un cercle restreint : les opérateurs d'importance vitale (OIV) et quelques opérateurs de services essentiels. La directive NIS2, transposée en droit français, a fait exploser ce périmètre. On passe d'environ cinq cents entités encadrées à plusieurs milliers, réparties en entités essentielles et entités importantes.

Concrètement, beaucoup de structures que vous accompagnez au quotidien basculent dans le champ d'application : ETI industrielles, fournisseurs de services numériques, sociétés de gestion des déchets, agroalimentaire, collectivités, prestataires de santé. Une grande partie de votre clientèle de TPE/PME et de collectivités découvre qu'elle est désormais légalement tenue de respecter des mesures de gestion des risques cyber et des obligations de notification d'incident.

Pour le dirigeant d'une de ces entités, la première personne vers qui il se tourne, c'est vous. Vous devenez de facto l'interprète d'un texte technique et juridique dense. Et c'est précisément là que votre responsabilité change de nature : vous ne conseillez plus seulement de « bonnes pratiques », vous conseillez sur une obligation légale assortie de sanctions.

Le règlement DORA (Digital Operational Resilience Act) vise la résilience opérationnelle numérique du secteur financier : banques, assureurs, sociétés de gestion, établissements de paiement, prestataires de crypto-actifs. Il impose à ces entités un cadre strict de gestion du risque lié aux technologies de l'information et de la communication (TIC).

Un point est crucial pour vous : DORA encadre explicitement la relation avec les prestataires tiers de services TIC. Les entités financières doivent tenir un registre de leurs prestataires, évaluer leurs risques, et contractualiser des clauses précises. Si vous intervenez auprès d'un acteur financier — audit, RSSI externalisé, conseil sur la continuité d'activité —, vos livrables entrent dans leur dispositif de conformité réglementé.

Un audit que vous remettez à une fintech n'est plus un simple rapport interne : c'est une pièce susceptible d'être présentée à un superviseur. Sa qualité, son exhaustivité et sa traçabilité engagent votre responsabilité d'une manière inédite.

Le client financier qui subirait une remarque de son autorité de tutelle au motif d'un conseil que vous lui auriez délivré pourrait légitimement chercher à mettre en cause votre prestation.

Avant ces textes, un défaut de conseil cyber se traduisait surtout par un préjudice technique : une faille non corrigée, une sauvegarde mal configurée. Désormais, un défaut de conseil peut se traduire par un préjudice réglementaire : une sanction administrative infligée à votre client.

Les autorités de contrôle disposent de pouvoirs de sanction substantiels, pouvant représenter un pourcentage du chiffre d'affaires de l'entité défaillante pour les manquements les plus graves. Pour le dirigeant, l'addition peut être lourde, et la tentation de répercuter cette charge sur le prestataire qui l'a accompagné est forte.

Voici les situations typiques qui peuvent fonder une mise en cause :

• Mauvaise qualification du périmètre : vous concluez que le client n'est pas concerné par NIS2 alors qu'il l'est, et il ne met rien en place.
• Plan de conformité incomplet : vous omettez une obligation (notification d'incident dans les délais, mesures de gestion des risques, gouvernance) qui aurait dû figurer dans votre feuille de route.
• Retard dans l'accompagnement : vous laissez passer une échéance réglementaire sans alerter le client.
• Conseil contractuel défaillant sur les clauses prestataires exigées par DORA.

Parmi les obligations introduites par NIS2, l'une cristallise un risque particulier pour le délégué sécurité numérique : la notification d'incident. Les entités concernées doivent signaler à l'autorité compétente, dans des délais courts, tout incident significatif. Le dispositif s'articule généralement autour d'une alerte précoce, puis d'une notification plus complète, puis d'un rapport final.

Ces délais sont serrés et la mécanique est technique : qualifier la gravité d'un incident, déterminer s'il franchit le seuil de signalement, rédiger la notification dans les formes attendues. En situation de crise, c'est souvent vous, en tant que conseil ou RSSI externalisé, qui pilotez cette procédure pour le compte du client.

Le pilotage de la notification d'incident est le moment où votre responsabilité est la plus exposée : une erreur d'appréciation sur le seuil, un retard dans la déclaration, et c'est votre client qui se trouve en infraction — avec le réflexe naturel de se retourner vers celui qui tenait la barre.

Concrètement, plusieurs erreurs peuvent vous être reprochées : avoir sous-estimé la gravité d'un incident qui aurait dû être notifié, avoir laissé filer le délai d'alerte précoce, ou avoir produit une notification incomplète qui expose le client à une remarque de l'autorité. Préparez en amont, avec chaque client concerné, une procédure de notification documentée : c'est à la fois une bonne pratique de sécurité et une protection juridique pour vous.

NIS2 et DORA ne sont pas des obligations figées : elles s'inscrivent dans un calendrier de mise en conformité progressif, avec des jalons que votre client n'a souvent ni le temps ni l'expertise de suivre. Vous devenez de fait le gardien de son échéancier réglementaire.

Cette responsabilité de veille présente un risque spécifique : celui du conseil tardif. Si une échéance importante passe sans que vous ayez alerté votre client, et qu'il en subit un préjudice — une sanction, une exclusion d'un appel d'offres exigeant la conformité, une remarque d'un donneur d'ordre —, votre inaction peut être qualifiée de manquement.

Quelques bonnes pratiques permettent de tenir cette ligne :

• Maintenez pour chaque client un tableau de bord de conformité daté, listant les obligations applicables et leur statut.
• Adressez des alertes écrites à l'approche de chaque échéance, en conservant la preuve de l'envoi.
• Distinguez clairement ce qui relève de votre périmètre de veille et ce qui reste à la charge du client.

Cette discipline transforme une zone de risque en démonstration de sérieux : en cas de litige, votre traçabilité prouve que vous avez accompli vos diligences.

La meilleure défense reste la rigueur contractuelle et documentaire. Plusieurs réflexes réduisent fortement votre exposition :

1. Délimitez le périmètre par écrit. Précisez ce que couvre votre mission et, tout aussi important, ce qu'elle ne couvre pas. Un audit organisationnel n'est pas un test d'intrusion technique : dites-le noir sur blanc.
2. Datez et tracez vos recommandations. Chaque alerte sur une échéance réglementaire, chaque réserve formulée, doit laisser une trace écrite. C'est votre meilleure protection en cas de litige.
3. Distinguez l'obligation de moyens de l'obligation de résultat. Vous vous engagez à mettre en œuvre des diligences conformes à l'état de l'art, pas à garantir l'absence totale d'incident ou de remarque d'un superviseur.
4. Rappelez la part du client. La conformité dépend aussi de sa mise en œuvre effective. Documentez les actions que vous lui avez recommandées et qu'il n'a pas réalisées.

Aucune clause, toutefois, n'éteint complètement le risque de mise en cause. Un client mécontent peut toujours engager une action, et c'est là que votre assurance responsabilité civile professionnelle prend tout son sens, en finançant notamment votre défense.

Toutes les RC Pro ne se valent pas pour une activité de conseil en cybersécurité dans ce nouveau cadre réglementaire. Vérifiez que votre contrat couvre bien :

• Les dommages immatériels non consécutifs, c'est-à-dire les préjudices financiers du client sans dommage matériel préalable — typiquement une sanction administrative ou une perte d'exploitation.
• La faute, l'erreur et l'omission dans le conseil de conformité, et pas seulement dans la prestation technique.
• Une protection juridique robuste, car le contentieux réglementaire mobilise une expertise coûteuse.

Pour aller plus loin, une assurance cyber dédiée protège votre propre cabinet en cas d'incident sur vos systèmes — un sujet sensible quand vous manipulez les données techniques sensibles de vos clients. Et si vous exploitez des locaux et du matériel, une multirisque professionnelle complète le dispositif. Découvrez l'ensemble des garanties adaptées à votre activité sur la page dédiée au délégué sécurité numérique.