Tous les articles sur NIS2 et les conseils d'administration disent que la direction est responsable. Moins nombreux sont ceux qui disent ce que l'organe de direction doit réellement faire, ce qui est la première question d'un dirigeant, parce que la responsabilité s'attache à des devoirs. Les devoirs sont courts et tiennent dans un article de la directive, et pour les entités que couvre le règlement d'exécution ils sont ensuite écrits sous la forme de douze enregistrements précis. Cet article est ces devoirs et ces enregistrements, avec la clause d'ISO 27001 qui produit déjà chacun d'eux, et ce que la directive dit de la responsabilité, lu dans le texte.
L'article 20, en deux paragraphes
Article 20(1) de la directive (UE) 2022/2555 : les États membres « veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l'article 21, supervisent sa mise en œuvre et puissent être tenus responsables de la violation dudit article par ces entités ». Trois verbes : approuver, superviser, être responsable. Les mesures sont les dix de l'article 21(2), et la responsabilité porte sur les violations de cet article par l'entité, non sur chaque incident.
Article 20(2) : les États membres « veillent à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation » et « encouragent » les entités à offrir régulièrement une formation similaire à leur personnel, afin que ceux-ci « acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité ». L'asymétrie est voulue : pour les membres de l'organe de direction la formation est obligatoire ; pour le personnel elle est encouragée. La directive ne dit ni la durée, ni la fréquence, ni par qui ; le droit national et l'autorité de surveillance du secteur complètent, et le règlement d'exécution ajoute le programme de sensibilisation ci-dessous.
Les devoirs sont les mêmes pour les entités essentielles et importantes, et pour tous les secteurs. Ce qui diffère, c'est l'exécution, qui est la dernière section.
Les douze endroits où le règlement d'exécution nomme l'organe de direction
Pour les secteurs que couvre le règlement d'exécution (UE) 2024/2690, fournisseurs de services en nuage, fournisseurs de services gérés, centres de données, places de marché en ligne et les autres de son article 1, « approuver » et « superviser » de l'article 20 cessent d'être abstraits. L'annexe nomme les organes de direction à douze endroits, et chacun est un enregistrement qu'une autorité de surveillance peut demander. La clause d'ISO 27001 dans la dernière colonne est notre lecture de ce qui le produit déjà ; la correspondance est la nôtre, pas celle de l'ENISA.
| Point de l'annexe | Ce que fait l'organe de direction | L'enregistrement | ISO/IEC 27001:2022 |
|---|---|---|---|
| 1.1.1(k) | La politique de sécurité « indique la date d'approbation formelle par les organes de direction » | Une politique avec une date d'approbation et l'organe qui l'a approuvée | 5.2 |
| 1.1.2 | La politique est « réexaminée et, s'il est besoin, mise à jour par les organes de direction au moins chaque année », et après des incidents ou changements importants ; le résultat des réexamens est documenté | Un enregistrement de réexamen daté, au moins annuel | 9.3 |
| 1.2.1 | Les responsabilités et les pouvoirs en matière de sécurité sont associés à des rôles et les organes de direction en sont informés | Le document des rôles, et l'information | 5.3 |
| 1.2.3 | « Au moins une personne fait directement rapport aux organes de direction sur les questions relatives à la sécurité des réseaux et des systèmes d'information » | Une personne nommée avec une ligne de rapport directe | 5.3 |
| 1.2.6 | Les rôles, responsabilités et pouvoirs sont « réexaminés et, s'il est besoin, mis à jour par les organes de direction à intervalles prédéfinis » | Un réexamen des rôles, selon un calendrier | 9.3 |
| 2.1.1 | « Les résultats de l'évaluation des risques et les risques résiduels sont approuvés par les organes de direction », ou par des personnes tenues de rendre des comptes avec un rapport adéquat aux organes de direction | L'évaluation des risques avec son acceptation, signée | 6.1.2, 6.1.3 |
| 2.2.1 | Les organes de direction « sont informés, au moyen de rapports réguliers établis sur la base des examens de conformité, du stade atteint en matière de sécurité » des réseaux et de l'information | Des rapports de conformité, à une cadence fixe | 9.1 |
| 2.2.2 | Un système de rapports de conformité « de nature à donner aux organes de direction une vision fiable du stade atteint » en matière de gestion des risques | Le système de rapports lui-même | 9.1 |
| 2.3.3 | Les résultats des réexamens indépendants, y compris le contrôle de la conformité et le mesurage, « sont communiqués aux organes de direction » | Les résultats d'audit interne parvenant à l'organe | 9.2, 9.3 |
| 8.1.1 | Les employés « y compris les membres des organes de direction » sont sensibilisés aux risques et appliquent la cyberhygiène | Des preuves de sensibilisation pour les membres | 7.3 |
| 8.1.2 | Un programme de sensibilisation proposé aux employés « y compris aux membres des organes de direction », échelonné dans le temps et répété | Le programme, son calendrier, la participation | 7.2, 7.3 |
| 10.1.2(c) | « Des mécanismes garantissant que les membres des organes de direction comprennent le rôle, les responsabilités et les pouvoirs qui leur sont confiés » et agissent en conséquence | Des reconnaissances de rôle par les membres | 5.3, 7.3 |
Deux des douze portent l'essentiel du poids. La date d'approbation du point 1.1.1(k) est l'enregistrement du verbe « approuver » de l'article 20(1) : une politique sans approbation datée par l'organe de direction manque au premier devoir à première vue. La ligne de rapport du point 1.2.3 et les rapports des points 2.2.1 et 2.3.3 sont l'enregistrement du verbe « superviser » : un organe qui ne reçoit aucun rapport de sécurité ne peut pas montrer qu'il a supervisé quoi que ce soit. Un système de management ISO 27001 produit déjà chaque ligne : l'approbation de la politique au titre de la clause 5.2, les rôles au titre de la 5.3, l'acceptation des risques au titre de la 6.1.3, les rapports au titre des 9.1 et 9.2, la revue de direction annuelle au titre de la 9.3, les enregistrements de compétence et de sensibilisation au titre des 7.2 et 7.3. Ce qu'il ne fait pas de lui-même, c'est inscrire les membres de l'organe de direction au programme de sensibilisation, ce que le règlement fait deux fois, aux points 8.1.1 et 8.1.2.
Pour les entités hors des secteurs du règlement d'exécution, la transposition nationale porte l'article 20 et peut y ajouter ses propres précisions ; les douze enregistrements ci-dessus restent la preuve naturelle des deux verbes.
À quoi ressemble la responsabilité
L'article 20(1) dit que l'organe de direction peut « être tenu responsable » ; il ne dit pas comment. Deux autres dispositions le font.
Pour les entités essentielles, l'article 32(5) donne à l'autorité compétente, lorsque les mesures d'exécution de l'article 32(4) ont été inefficaces et qu'un délai de remédiation a expiré, le pouvoir de demander aux juridictions ou organes compétents d'interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes au niveau de directeur général ou de représentant légal dans l'entité essentielle d'exercer des fonctions de direction dans cette entité, seulement jusqu'à ce que l'entité remédie aux manquements, avec des garanties procédurales. Article 32(6) : les États membres veillent à ce que toute personne physique responsable d'une entité essentielle ou agissant en tant que représentant légal de celle-ci ait le pouvoir d'assurer le respect de la directive, et à ce que ces personnes physiques puissent être tenues responsables des manquements à leur devoir d'en assurer le respect. L'interdiction temporaire ne s'applique pas aux entités de l'administration publique.
Pour les entités importantes, l'article 33 n'a pas d'équivalent de l'article 32(5) ou (6) ; la responsabilité de l'article 20(1) est ce que le droit national en fait.
Pour les deux, l'article 34 fixe les amendes pour violation des articles 21 ou 23 : pour les entités essentielles un maximum d'au moins 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'entreprise, le montant le plus élevé étant retenu (article 34(4)) ; pour les entités importantes un maximum d'au moins 7 000 000 EUR ou 1,4 % (article 34(5)). Les amendes frappent l'entité ; « maximum d'au moins » signifie que les États membres ne peuvent pas fixer le plafond plus bas.
Le considérant 137 dit pourquoi : la directive devrait viser à garantir un niveau élevé de responsabilité pour les mesures de gestion des risques en matière de cybersécurité et les obligations de signalement au niveau des entités essentielles et importantes, raison pour laquelle les organes de direction des entités essentielles et importantes devraient approuver les mesures de gestion des risques et superviser leur mise en œuvre.
Ce qu'il faut mettre devant la direction
Lu comme une liste d'enregistrements, l'article 20 pour une entreprise des secteurs du règlement d'exécution est une réunion par an plus un point permanent : la politique approuvée avec une date et réapprouvée chaque année (1.1.1(k), 1.1.2) ; les rôles réexaminés et la personne nommée qui fait directement rapport (1.2.1, 1.2.3, 1.2.6) ; l'évaluation des risques et ses risques résiduels acceptés au procès-verbal (2.1.1) ; les résultats de conformité et d'audit à l'ordre du jour à une cadence fixée (2.2.1, 2.2.2, 2.3.3) ; et la formation de sensibilisation des membres eux-mêmes planifiée et enregistrée (8.1.1, 8.1.2, 10.1.2(c)). Si votre entreprise est essentielle ou importante, et si le règlement d'exécution s'applique à elle, c'est la détermination gratuite ; la correspondance des treize sections du règlement avec ISO 27001 contient le reste de l'annexe.
Sources
- Directive (UE) 2022/2555 (NIS2), article 20, article 21(2), article 32(4) à (6), article 33, article 34(4) et (5), considérant 137.
- Règlement d'exécution (UE) 2024/2690 de la Commission, annexe, points 1.1.1(k), 1.1.2, 1.2.1, 1.2.3, 1.2.6, 2.1.1, 2.2.1, 2.2.2, 2.3.3, 8.1.1, 8.1.2 et 10.1.2(c).
- ISO/IEC 27001:2022, clauses 5.2, 5.3, 6.1.2, 6.1.3, 7.2, 7.3, 9.1, 9.2 et 9.3, citées par numéro ; la correspondance est la nôtre.
Ceci n'est pas un avis juridique. L'article 20 est transposé par chaque État membre, et les règles de responsabilité pour une direction donnée sont les règles nationales ; le texte à lire est celui de la directive et de la loi de votre État.