L'article 20 de la directive NIS2 (UE) 2022/2555 impose aux membres des organes de direction des entités essentielles et importantes de suivre une formation à la cybersécurité, et charge l'organe de direction d'approuver les mesures de gestion des risques et d'en superviser la mise en œuvre, avec une responsabilité personnelle en cas de négligence. En France, la loi de transposition n'est pas encore définitive. En Belgique, la loi du 26 avril 2024 s'applique déjà. Les obligations de la directive, elles, sont fixées, seule la date d'application nationale varie.
Ce que la directive impose aux dirigeants
Le premier paragraphe de l'article 20 place l'approbation des mesures de gestion des risques et la supervision de leur mise en œuvre chez l'organe de direction lui-même, même quand le travail quotidien revient à un RSSI ou à un prestataire externe. La directive prévoit que les membres de l'organe de direction peuvent être tenus responsables en cas de négligence dans cette tâche. Pour les entités essentielles, l'autorité de contrôle peut, dans le cas extrême, demander une interdiction temporaire d'exercer des fonctions dirigeantes.
Le second paragraphe contient l'obligation de formation NIS2 proprement dite. Les membres des organes de direction doivent suivre une formation qui leur permet d'identifier les risques et d'évaluer les pratiques de gestion des risques et leurs conséquences pour les services fournis par l'entité. Le niveau attendu est celui de la gouvernance. Aucune connaissance technique n'est exigée, mais un dirigeant doit pouvoir interroger un rapport de risques, évaluer une mesure et justifier une décision. Un e-learning de sensibilisation générale pour les collaborateurs ne suffit donc pas comme formation des dirigeants ; il entraîne le comportement des utilisateurs, pas la prise de décision.
France, une transposition encore en chantier
La France a manqué la date limite de transposition du 17 octobre 2024, et la Commission européenne a ouvert une procédure d'infraction fin novembre 2024. La loi de transposition, dite loi Résilience, a été adoptée en première lecture au Sénat le 12 mars 2025, mais elle n'était pas encore définitivement adoptée en juin 2026. Environ 15 000 entités réparties sur 18 secteurs entreront dans son champ, contre quelque 500 opérateurs de services essentiels sous NIS1.
Attendre le texte définitif est pourtant risqué. Les obligations de la directive, dont la formation des dirigeants, sont déjà fixées, seul le calendrier reste ouvert. L'ANSSI a d'ailleurs publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), avec 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Vous pouvez donc déjà voir ce qui vous attend et utiliser le temps restant pour former l'organe de direction.
Belgique, une longueur d'avance
La Belgique a transposé NIS2 par la loi du 26 avril 2024. L'organe de direction doit y approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre lui-même une formation. Le contrôle revient au Centre for Cybersecurity Belgium (CCB), qui a publié avec CyberFundamentals (CyFun) un référentiel utilisé en pratique pour donner corps au devoir de diligence. Les sanctions suivent la directive, avec des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles.
Pour les groupes actifs dans les deux pays, la Belgique est le point de départ pratique. Montez la formation des dirigeants une seule fois, alignée sur la loi belge en vigueur, et réutilisez le même dossier de preuves quand la loi française sera définitive.
Ce que la formation doit permettre
L'article 20 formule un objectif, pas un programme de cours. La formation doit mettre les dirigeants en mesure d'identifier les risques pesant sur les réseaux et les systèmes d'information, d'évaluer les mesures de maîtrise et d'en peser les conséquences pour les services de l'organisation. C'est une compétence de gouvernance, et elle demande plus qu'une séance d'information.
Que la connaissance seule ne suffise pas n'est pas une opinion mais un résultat de recherche. Bada, Sasse et Nurse ont montré, dans leur étude très citée des campagnes de sensibilisation à la sécurité, que la seule diffusion d'informations ne change guère les comportements ; il faut que les personnes puissent appliquer les conseils et soient motivées à le faire. Pour les dirigeants, cela signifie qu'un bon programme associe l'e-learning à des exercices où une décision doit être prise alors que les faits sont incomplets.
Le rôle de la direction est lui aussi documenté. Uchendu, Nurse, Bada et Furnell ont analysé 58 études sur la culture de sécurité dans Computers & Security et concluent que le soutien de la direction générale est l'une des conditions déterminantes pour construire une telle culture. Vue sous cet angle, l'obligation de formation n'est pas une formalité ; un organe de direction qui comprend le sujet et le met à l'ordre du jour est exactement ce dont une culture de sécurité a besoin.
Pour l'entraînement au niveau de la direction, vous n'avez pas non plus à nous croire sur parole. Le Conseil scientifique néerlandais pour la politique gouvernementale (WRR) plaidait dès 2019, dans son rapport « Voorbereiden op digitale ontwrichting » (se préparer à la disruption numérique), pour que les organisations se préparent aux incidents numériques par des exercices, comme elles le font depuis longtemps pour les crises physiques. Une simulation où l'organe de direction vit les premières heures d'un incident en est la traduction pratique.
Preuves et registre, la bonne pratique
Lors d'un contrôle, ce qui compte est ce que vous pouvez montrer. Tenez un registre par dirigeant avec les dates d'achèvement, les versions des contenus et les résultats des tests. Des enregistrements horodatés et non modifiables a posteriori pèsent nettement plus lourd que des certificats épars ou des courriels.
Consignez aussi, réunion par réunion, quand la cybersécurité a été discutée et quelle décision a été prise. C'est également une preuve que l'organe de direction remplit son rôle de supervision, et c'est la première chose qu'une autorité demandera après un incident.
Erreurs fréquentes
- Utiliser des modules de sensibilisation génériques pour les dirigeants au lieu d'une formation au niveau de la gouvernance. La case est cochée, mais ce que la directive demande n'est pas entraîné.
- Déléguer entièrement la cybersécurité au RSSI sans que l'organe de direction se forme un jugement propre. L'article 20 place explicitement l'approbation des mesures chez l'organe de direction.
- Ne rien consigner des réunions où la cybersécurité a été discutée. Sans point à l'ordre du jour ni procès-verbal, rien ne peut être démontré après coup.
- Confondre conformité et sécurité. Une organisation peut être conforme sur le papier et rester vulnérable. Les dirigeants doivent savoir distinguer les deux.
- Intégrer tardivement les nouveaux dirigeants. Chaque mois entre la nomination et la formation est un mois où quelqu'un codécide sans base démontrable.
La formation des dirigeants de 2LRN4 combine six modules d'e-learning avec deux ateliers à votre propre table de direction, et livre le certificat et le dossier de preuves dont parle cet article.
NIS2 pour dirigeantsArticles liés
La loi française de transposition NIS2 · Le reporting au conseil d'administration pour la sensibilisation · Les preuves d'audit pour la sensibilisation
Sources
- Directive NIS2 (UE) 2022/2555, article 20 (EUR-Lex)
- Legiscope, la transposition de NIS2 en France
- CCB, loi belge NIS2 (26 avril 2024)
- Bada, Sasse & Nurse, Cyber Security Awareness Campaigns: Why do they fail to change behaviour? (2015)
- Uchendu, Nurse, Bada & Furnell, Developing a cyber security culture, Computers & Security 109 (2021)
- WRR, Voorbereiden op digitale ontwrichting, rapport 101 (2019)
FAQ
La formation peut-elle se faire en ligne ?
Oui. L'article 20 décrit ce que les dirigeants doivent savoir faire, pas la forme sous laquelle ils l'apprennent. Modules en ligne, sessions hybrides et ateliers en présentiel conviennent tous, à condition que l'achèvement soit démontrable. Gardez à l'esprit que la recherche montre que l'information seule ne change guère les comportements ; un programme qui associe e-learning et exercices à la table de direction sert mieux l'objectif de la directive.
Qui est concerné dans l'entreprise ?
La directive vise les membres des organes de direction des entités essentielles et importantes, et la loi belge reprend cette logique en s'adressant à l'organe de direction. Beaucoup d'organisations font participer volontairement les administrateurs non exécutifs à la même formation, parce qu'ils doivent pouvoir juger si la direction remplit son rôle en matière de cybersécurité.
Faut-il attendre la loi française définitive ?
Non. Les obligations de la directive sont fixées et le ReCyF de l'ANSSI, publié le 17 mars 2026, montre déjà la direction prise. Attendre raccourcit seulement votre temps de préparation, alors que former un organe de direction et constituer le dossier de preuves prennent du temps.
Que risquent les dirigeants en cas de négligence ?
La directive prévoit que les membres de l'organe de direction peuvent être tenus responsables en cas de négligence, et pour les entités essentielles une interdiction temporaire d'exercer des fonctions dirigeantes peut être demandée dans le cas extrême. En Belgique, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles. Qui peut démontrer avoir été formé, avoir mis le risque à l'ordre du jour et avoir pris des décisions motivées se trouve en position forte, même si un incident survient.
Combien coûte une formation pour l'organe de direction ?
Cela va d'e-learnings individuels par personne à des programmes accompagnés par organe de direction. À titre indicatif, le programme complet de 2LRN4, avec six modules, deux tests, deux ateliers sur site, certificat et dossier de preuves, coûte 11 500 euros par organe de direction jusqu'à huit participants, hors TVA, plus 950 euros par an pour l'actualisation. Comparez les prestataires surtout sur les preuves qui restent après coup, car c'est ce que l'autorité demandera.