Programme NIS2 pour dirigeants

De l'obligation légale à une prise de décision réfléchie

Le 15 août 2026, la législation néerlandaise NIS2 est entrée en vigueur. Depuis, chaque membre de l'organe de direction d'une entité essentielle ou importante est soumis à une obligation personnelle : tu dois pouvoir identifier les risques pesant sur les réseaux et systèmes d'information, évaluer les mesures de maîtrise et peser leurs conséquences pour tes services. Tu le démontres avec le certificat d'une formation couvrant les sujets prescrits par la loi, et tu maintiens ensuite ces connaissances à jour de manière démontrable. Tu dois t'y conformer au plus tard le 15 août 2028.

Le législateur est clair sur le niveau attendu. Aucune connaissance technique n'est exigée de toi, mais des connaissances de niveau stratégique, afin qu'en tant que dirigeant tu puisses évaluer des mesures et faire maîtriser les risques. L'exposé des motifs du décret d'application néerlandais de NIS2 résume l'objectif comme parvenir à « une bonne pondération et une prise de décision réfléchie autour de la sécurité des réseaux et systèmes d'information ».

C'est exactement ce que ce programme entraîne.

Pourquoi l'e-learning seul ne suffit pas

La loi demande deux choses différentes. Le décret d'application prescrit treize sujets que la formation doit couvrir. C'est de la connaissance, et la connaissance se transmet efficacement par l'e-learning. La loi elle-même demande en outre des compétences, et une compétence ne naît pas en écoutant. Elle naît lorsque tu dois prendre une décision alors que les faits sont incomplets et que le délai de notification court.

C'est pourquoi ce programme se compose des deux, et aucun des deux n'est optionnel. Six courts modules d'e-learning posent la base théorique et couvrent de manière démontrable les treize sujets légaux. Deux ateliers avec ton propre conseil transforment cette base en comportement que la loi demande réellement. Qui ne regarde que des vidéos obtient un certificat. Qui s'exerce aussi peut réellement prendre, et justifier, la décision qui va avec.

Le programme en six mois

Tu suis six modules d'e-learning de 12 à 15 minutes, un par mois, au moment qui te convient. Chaque module tourne autour des quatre mêmes questions que tu poses ensuite à ta propre table de conseil : qu'est-ce qui peut mal tourner ici et qu'est-ce que cela touche, que faisons-nous et est-ce que je vois que cela fonctionne, qu'est-ce que cela signifie pour nos services si cela arrive quand même, et qui décide et quel est mon rôle.

Après les trois premiers modules, tu passes un test intermédiaire, qui vérifie que les bases sont acquises avant que tu ne t'assoies avec ton propre conseil. Vient ensuite le premier atelier, avec ton propre conseil et ton propre CISO à la table. Tu interroges ton propre reporting des risques, tu détermines ton appétence au risque et tu prends une décision de mesure que tu motives par écrit.

Après les trois derniers modules, tu passes le test décisionnel, qui n'évalue pas des connaissances factuelles mais la défendabilité des décisions du conseil. Tu termines par l'atelier final, une simulation en trois manches. Tu es dans les premières heures d'un incident avec des informations incomplètes, tu fais face au troisième jour au choix entre restaurer et continuer à travailler, et six mois plus tard tu expliques au régulateur pourquoi tu as décidé ce que tu as décidé. Un observateur indépendant consigne chaque décision dans un registre des décisions que tu emportes pour ton dossier de preuve.

L'investissement total par dirigeant est d'environ neuf heures et demie, réparties sur six mois : huit heures pour les deux ateliers réunis, plus les six modules. Cela fait une heure et demie par mois pour une obligation dont tu es personnellement responsable.

Ce que tu as en main à l'issue

Tu reçois un certificat conforme à toutes les exigences de forme du décret d'application néerlandais de NIS2, établi en néerlandais ou en anglais. Au verso figure, pour chaque sujet légal, dans quel module ou atelier il a été traité et quand. Un auditeur qui pose le certificat à côté du texte de loi n'a plus rien à vérifier.

De plus, la plateforme construit en continu ton dossier de preuve. La loi exige que tu maintiennes tes connaissances à jour de manière démontrable après la formation, et pour cela aucun certificat n'est prescrit mais une preuve « par d'autres moyens ». Notre reporting est précisément cette preuve : un registre infalsifiable par dirigeant avec les dates d'achèvement, les versions du contenu, les résultats des tests et l'actualisation planifiée. En cas de contrôle, tu remets un seul export.

Rester à jour

Après la première année suit chaque année un court module d'actualisation avec de nouveaux cas et les modifications législatives de l'année. Tous les deux ans, tu répètes la simulation avec un nouveau cas. Un dirigeant qui entre en fonction en cours de route suit le programme complet dès sa nomination. La loi accorde deux ans à un nouveau membre, mais qui codécide de mesures qu'il n'apprendra à évaluer que plus tard court un risque sans base démontrable pendant toute cette fenêtre.

Investissement

Un prix par conseil, quel que soit le nombre de membres jusqu'à huit participants. Tous les montants s'entendent hors TVA. Les ateliers ont lieu sur site et comprennent la préparation avec ton CISO, l'animation, un observateur indépendant et le compte rendu.

Un dirigeant qui entre en fonction en cours de route suit le programme d'e-learning complet et reçoit son propre certificat, sans frais supplémentaires tant que l'actualisation est en cours. Pour un conseil de plus de huit membres, ou plusieurs conseils au sein d'une même organisation, nous convenons d'un accord sur mesure.

Si tu es déjà client de 2LRN4 ou de Kantyra, une remise combinée de 10% s'applique au programme complet. Si tu utilises les deux plateformes, la remise est de 15%. Ton dossier de preuve se raccorde alors en outre directement à ton environnement existant, de sorte que la preuve de l'obligation de formation et la preuve du devoir de vigilance se rejoignent dans le même reporting.

Ateliers hors des Pays-Bas

Les ateliers ont lieu aux Pays-Bas, en néerlandais ou en anglais. Nous les animons aussi dans tes locaux à l'étranger, en anglais dans ce cas, les frais de déplacement et d'hébergement étant facturés à part au prix coûtant. Pour des ateliers en français en France et en Belgique, nous cherchons encore des partenaires. Si tu es organisme de formation ou cabinet de conseil et que tu veux proposer ce programme sur ton marché, consulte notre page partenaires.

À qui cela s'applique

L'obligation pèse sur chaque membre de l'organe de direction d'une entité essentielle ou importante. Dans un conseil moniste, elle s'applique exclusivement aux administrateurs exécutifs. Dans une société civile professionnelle, elle s'applique à chaque associé, dans une société en nom collectif à chaque associé, et pour les organismes publics la loi désigne l'organe de direction, pour les communes par exemple le collège des bourgmestre et échevins. Si tu doutes que ton organisation et ton rôle soient concernés, nous le vérifions pour toi lors d'un entretien d'une demi-heure, gratuitement.

Commencer à temps

La date limite est le 15 août 2028 et le programme dure six mois. Qui commence en 2027 suit le programme sereinement, à côté de l'enregistrement, des mesures du devoir de vigilance et des accords de chaîne qui figurent à l'agenda du conseil dans la même période. Qui attend le printemps 2028 fait la formation sous pression, alors que le régulateur regarde déjà.

Planifie une prise de contact via la page de contact ou écris à support@2lrn4.com.