Responsabilité personnelle des dirigeants : ce que le référent doit faire tracer

La rupture introduite par NIS2 tient en une phrase : la cybersécurité n'est plus déléguable comme une simple affaire technique. La directive met les organes de direction en première ligne. Ce sont eux qui doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre, et ils peuvent être tenus pour responsables des manquements de l'entité.

Concrètement, un dirigeant ne peut plus se retrancher derrière le « je ne savais pas, c'est le service informatique qui gère ». La responsabilité de la gouvernance cyber remonte au sommet. Cette logique s'accompagne d'une obligation de formation : les membres de la direction doivent suivre une formation leur permettant d'identifier les risques et d'évaluer les pratiques de gestion.

Pour le référent, ce changement est une opportunité — votre mission gagne en importance stratégique — mais aussi un déplacement du risque. Si la gouvernance est mal organisée, c'est vous qui aurez conseillé une direction désormais personnellement exposée.

Cette responsabilisation au sommet a une conséquence concrète sur votre interlocuteur. Hier, vous parliez au responsable informatique ; aujourd'hui, votre véritable client est le comité de direction. Le langage, les livrables et les preuves à produire changent de nature : on ne présente pas un plan de gestion des risques à un comité de direction comme on le présente à une équipe technique. Le référent qui ne fait pas remonter ses recommandations jusqu'au bon niveau de décision passe à côté de l'esprit même de NIS2 — et laisse la direction dans l'illusion qu'elle a délégué un risque qu'elle porte désormais personnellement.

Trois obligations pèsent sur la direction, et chacune appelle une preuve que le référent doit aider à constituer :

Le réflexe à inculquer : ce qui n'est pas tracé n'a, juridiquement, pas eu lieu. Une direction qui a réellement approuvé un plan mais sans procès-verbal se retrouve, en cas de contrôle, dans la même situation qu'une direction négligente. Votre valeur ajoutée n'est pas seulement de conseiller, mais d'organiser la preuve de la conformité.

La supervision est souvent la plus négligée des trois obligations, parce qu'elle s'inscrit dans la durée. Approuver un plan est un acte ponctuel ; le superviser suppose une discipline récurrente que la direction relâche dès que l'urgence retombe. C'est pourtant sur la continuité que se joue la crédibilité de la conformité : un plan approuvé en janvier et jamais réexaminé jusqu'à un incident en décembre raconte une gouvernance de façade. Le référent qui instaure un rythme de revue — et qui en conserve les comptes rendus — protège son client contre le reproche le plus difficile à réfuter : celui d'une conformité affichée mais non vivante.

Voici le scénario à anticiper. Vous accompagnez une entité, vous produisez un plan de gestion des risques solide, vous animez des réunions de direction. Mais rien n'est formalisé : pas de décision écrite d'approbation, pas d'attestation de formation des dirigeants, pas de revue documentée. Tout repose sur l'oral et la bonne volonté.

Le jour d'un contrôle ou d'un incident, l'entité ne peut prouver ni l'approbation par la direction, ni la formation des dirigeants. La direction, désormais personnellement exposée, se retourne naturellement vers son conseil : « Vous étiez censé nous mettre en conformité, pourquoi rien n'est documenté ? »

La défense « je leur ai dit » ne suffit pas. Si vous ne pouvez démontrer que vous avez préconisé la formalisation et fourni les outils pour la réaliser, le reproche d'une mission incomplète est crédible. C'est précisément ce type de réclamation — préjudice immatériel lié à une faute de conseil — que prend en charge une assurance RC Pro dédiée au conseil en conformité.

Il existe un angle mort encore plus subtil : le conflit entre votre conseil et la décision du dirigeant. Que se passe-t-il si vous recommandez une mesure que la direction refuse pour des raisons budgétaires ? Sans trace écrite de votre recommandation et de l'arbitrage du client, c'est votre parole contre la sienne. Avec une trace, la responsabilité bascule clairement vers celui qui a pris la décision en connaissance de cause — le dirigeant, désormais personnellement exposé. La formalisation ne sert donc pas seulement à prouver la conformité : elle attribue les responsabilités à leur juste place, ce qui protège d'abord le référent.

La parade est méthodologique et reproductible d'une mission à l'autre. Constituez un kit de preuve de gouvernance que vous déployez systématiquement :

• Un modèle de décision d'approbation à faire signer par la direction à chaque révision du plan de gestion des risques, avec date et version.
• Un registre de formation recensant les sessions suivies par les dirigeants, le contenu, la date et la preuve de présence.
• Un calendrier de revue formalisant la supervision périodique : quand, par qui, sur quels indicateurs.
• Une lettre de mission précise délimitant ce que vous produisez et ce qui relève de la décision souveraine de la direction.

Le référent qui livre un plan parfait mais sans dispositif de preuve a fait la moitié du travail. Le référent qui livre un plan correct assorti d'un kit de preuve solide a sécurisé son client — et lui-même.

Ce kit ne sert pas qu'au client : il constitue aussi votre propre dossier de défense. Chaque document signé par la direction matérialise que vous avez préconisé la bonne pratique et fourni les moyens de l'appliquer. La décision finale appartient à la direction, et c'est elle, en dernier ressort, qui en porte la responsabilité personnelle.

NIS2 redistribue les responsabilités sur plusieurs acteurs : la direction (personnellement), l'entité (qui supporte les sanctions) et vous (au titre du conseil). Votre couverture doit s'inscrire dans cette cartographie :

1. Pour vous, une RC Pro reconnaissant explicitement la mise en conformité NIS2 et le conseil en gouvernance cyber comme activités garanties, avec protection juridique.
2. Pour le client, selon son profil, une assurance cyber pour le risque technique et, le cas échéant, une couverture des mandataires sociaux pour la responsabilité personnelle des dirigeants.

Votre rôle de conseil ne s'arrête pas au plan technique : pointer ces besoins d'assurance auprès de la direction fait partie d'un accompagnement complet et renforce la traçabilité de votre diligence. Pour replacer cette mission dans l'ensemble des enjeux de votre métier, la page référent NIS2 détaille les garanties adaptées.