NIS2 : la formation des dirigeants est désormais obligatoire

Seulement 41 % des dirigeants français déclarent comprendre réellement les exigences de la directive NIS2. Pourtant, cette réglementation européenne place la cybersécurité au cœur des responsabilités du COMEX — et non plus uniquement entre les mains du DSI ou du RSSI. Jusqu’ici, la plupart des organisations traitaient la sécurité informatique comme un sujet purement technique, délégué aux équipes IT ou à un prestataire externe. Ce temps est révolu.

Avec l’article 20 de la directive NIS2, les organes de direction deviennent personnellement responsables de l’approbation, de la supervision et de la compréhension des mesures de gestion des risques cyber. Concrètement, chaque dirigeant d’une entité concernée doit suivre une formation obligatoire pour être en mesure d’identifier les menaces et d’évaluer les pratiques de sécurité de son organisation. Il ne s’agit plus d’une bonne pratique : c’est une obligation légale, vérifiable et sanctionnable.

Ce texte décrypte ce que la directive NIS2 et ses implications pour votre organisation imposent précisément aux dirigeants, les sanctions encourues en cas de manquement et les étapes concrètes pour atteindre la conformité NIS2 avant l’échéance de la loi Résilience, attendue au second semestre 2026.

Ce que dit vraiment l’article 20 de NIS2

L’article 20 de la directive (UE) 2022/2555 pose un cadre sans ambiguïté. Il impose aux organes de direction des entités essentielles et importantes deux obligations distinctes. La première : approuver formellement les mesures de gestion des risques prévues à l’article 21 (politiques de sécurité, plans de continuité, gestion des incidents). La seconde : suivre une formation permettant d’acquérir les connaissances suffisantes pour identifier les risques cyber et évaluer leur impact sur l’activité de l’organisation.

Ce double impératif marque une rupture nette avec les réglementations précédentes. Il ne suffit plus de signer un document de politique de sécurité rédigé par le RSSI. Le dirigeant doit comprendre ce qu’il approuve, être capable de poser les bonnes questions et de superviser la mise en œuvre effective des mesures. En France, la transposition via la loi Résilience — adoptée au Sénat le 12 mars 2025 et votée en commission spéciale à l’Assemblée nationale le 10 septembre 2025 — confirme cette exigence. Le périmètre concerne entre 15 000 et 18 000 organisations françaises, classées en entités essentielles (plus de 250 salariés ou CA supérieur à 50 M€) et en entités importantes (plus de 50 salariés ou CA supérieur à 10 M€), réparties sur 18 secteurs d’activité.

Une responsabilité personnelle, non délégable

Le point le plus structurant de l’article 20 tient au caractère non délégable de cette responsabilité. Un directeur général peut confier l’exécution opérationnelle de la cybersécurité à un RSSI interne ou externalisé. Il peut mandater un prestataire pour déployer les solutions techniques. Mais il ne peut pas transférer sa responsabilité de supervision et de formation.

Prenons l’exemple hypothétique d’une ETI industrielle de 300 salariés, classée entité importante. Son PDG ne pourra pas se retrancher derrière le fait que « le sujet est géré par l’IT ». En cas de contrôle de l’ANSSI, c’est bien la preuve de sa formation personnelle et de son implication dans la gouvernance cyber qui sera exigée. Les membres du COMEX, les administrateurs et les gérants sont donc directement exposés.

Quelles sanctions en cas de manquement ?

Les conséquences d’un défaut de conformité sont à la fois organisationnelles et personnelles, et les montants en jeu méritent l’attention de tout dirigeant. Pour les entités essentielles, les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel — le montant le plus élevé étant retenu. Pour les entités importantes, le plafond s’établit à 7 millions d’euros ou 1,4 % du CA mondial.

La dimension la plus inédite de NIS2 concerne les sanctions personnelles. L’autorité de contrôle peut demander l’interdiction temporaire d’exercer des fonctions de direction pour un dirigeant qui n’aurait pas respecté ses obligations de gouvernance et de formation. Cette mesure, sans précédent dans le droit européen de la cybersécurité, change radicalement la perception du risque. Un DG de PME qui néglige de se former ne met plus seulement son entreprise en danger : il engage sa propre carrière.

À ces sanctions administratives s’ajoutent les risques de responsabilité civile en cas de négligence grave ayant conduit à un incident, ainsi que la publication nominative des sanctions — un impact réputationnel considérable pour l’entreprise comme pour le dirigeant concerné. À titre d’illustration hypothétique : dans le secteur de la santé, si le dirigeant n’a jamais suivi de formation cyber et qu’une fuite de données patients survient, la publication de la sanction pourrait suffire à compromettre durablement la relation commerciale avec les partenaires — au-delà même de la nécessité d’anticiper et gérer un incident cyber.

La promulgation de la loi Résilience est attendue au second semestre 2026, avec une mise en conformité progressive entre 2026 et 2028 et des premiers contrôles ciblés sur les entités essentielles dès 2027. Le calendrier ne laisse plus de place à l’attentisme.

Qu’est-ce qu’une formation NIS2 pour dirigeants en pratique ?

Un malentendu revient souvent : la formation NIS2 pour dirigeants ne vise pas à transformer un PDG en expert technique. Il ne s’agit ni d’apprendre à configurer un pare-feu, ni de passer une certification de RSSI. L’objectif est de donner aux membres de la direction les clés pour identifier les risques cyber, comprendre les pratiques de gestion des risques et évaluer l’impact business d’un incident de sécurité.

En pratique, une formation conforme doit couvrir plusieurs domaines : la cartographie des menaces pesant sur l’organisation, les fondamentaux de la gouvernance cyber, la gestion et la notification des incidents, le cadre réglementaire applicable et la sécurité de la chaîne d’approvisionnement. L’investissement en temps est estimé entre 4 et 8 heures par dirigeant et par an, avec une session initiale plus structurée de 1 à 5 jours selon le format retenu.

Plusieurs formats répondent à ces exigences. Les briefings au niveau du COMEX permettent une sensibilisation ciblée en quelques heures. Les ateliers intra-entreprise (1 à 2 jours) offrent le meilleur équilibre entre pertinence contextuelle et profondeur de contenu. Les formations certifiantes (3 à 5 jours), dispensées par des organismes agréés, constituent la preuve de conformité la plus solide. Des exercices de crise guidés peuvent compléter le dispositif, en confrontant les dirigeants à des scénarios réalistes d’attaque.

Un point à ne pas négliger : la traçabilité est obligatoire. Les preuves de formation — certificats, attestations de présence, procès-verbaux de COMEX mentionnant la cybersécurité — doivent être documentées et conservées en vue d’un éventuel contrôle de l’ANSSI. Cette exigence documentaire rejoint d’ailleurs les principes de vos obligations de documentation et de traçabilité que l’on retrouve dans les référentiels ISO 27001. Les nouveaux dirigeants disposent d’un délai de six mois après leur nomination pour compléter leur formation initiale.

Comment financer cette formation ?

Le coût ne devrait pas constituer un frein, en particulier pour les PME. Plusieurs dispositifs de financement sont mobilisables. Les OPCO (Opérateurs de Compétences, organismes qui financent la formation professionnelle) peuvent prendre en charge jusqu’à 100 % des frais pour les entreprises de moins de 50 salariés, avec des budgets pouvant atteindre 8 000 € HT par an. Le CPF (Compte Personnel de Formation) permet de compléter le financement, tandis que les FAF (Fonds d’Assurance Formation) couvrent les dirigeants non salariés (TNS). Des aides régionales et le FNE-Formation peuvent également intervenir, couvrant entre 40 et 70 % du coût pédagogique pour les entreprises engagées dans une transformation numérique.

La condition à remplir : l’organisme de formation doit être certifié Qualiopi, gage de qualité reconnu par les financeurs publics. Le budget moyen d’un programme de formation pour dirigeant se situe entre 500 et 2 000 euros par personne et par an. Pour de nombreuses PME, le reste à charge peut donc être nul ou très faible.

Plan d’action concret : se mettre en conformité avant fin 2026

L’échéance approche, mais la démarche reste parfaitement atteignable pour toute organisation qui s’y engage maintenant. Voici les cinq étapes pour structurer votre mise en conformité.

Étape 1 — Vérifier son éligibilité.

L’ANSSI met à disposition l’outil MonEspaceNIS2 (accessible sur messervices.cyber.gouv.fr) qui permet d’évaluer en quelques minutes si votre organisation est concernée par la directive et d’identifier sa catégorie : entité essentielle ou entité importante. C’est le point de départ. À titre d’exemple hypothétique, une société de services numériques de 80 salariés réalisant 15 M€ de chiffre d’affaires sera très probablement classée entité importante et donc soumise à l’ensemble des obligations de l’article 20.

Étape 2 — Formaliser la gouvernance cyber.

Désignez un pilote NIS2 au sein de la direction. Produisez une note de gouvernance validée par le COMEX — deux pages suffisent — qui formalise les rôles, les responsabilités et les processus de décision en matière de cybersécurité. Ce document constitue la première preuve tangible de l’engagement de la direction.

Étape 3 — Planifier la formation des dirigeants.

Identifiez un organisme certifié Qualiopi proposant des formations adaptées aux profils non techniques. Anticipez les délais d’inscription (les demandes de prise en charge OPCO doivent être déposées 15 à 30 jours avant le début de la formation) et bloquez les créneaux dans les agendas du COMEX dès maintenant. La première année suivant l’entrée en vigueur des textes, les autorités privilégieront l’accompagnement plutôt que les amendes, mais les preuves d’une démarche engagée seront déterminantes.

Étape 4 — Documenter les preuves.

Conservez systématiquement les PV de COMEX mentionnant la cybersécurité, les certificats de formation, les décisions formalisées d’arbitrage des risques et les comptes rendus d’exercices de crise. Cette documentation sera votre meilleur atout en cas de contrôle ANSSI.

Étape 5 — S’appuyer sur un RSSI externalisé si nécessaire.

Toutes les organisations ne disposent pas des ressources internes pour piloter une telle démarche. Pour les PME et ETI sans équipe cybersécurité dédiée, faire appel à un RSSI externalisé permet de bénéficier d’une expertise opérationnelle immédiate : pilotage de la conformité, accompagnement à la formation des dirigeants, mise en place de la documentation et préparation aux contrôles.

Le référentiel ReCyF, publié par l’ANSSI le 17 mars 2026, structure 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Non obligatoire par défaut, il constitue un outil de référence utile pour structurer votre feuille de route — et les entités qui l’appliquent pourront s’en prévaloir lors des contrôles.

FAQ

Ce qu’il faut retenir

La directive NIS2 change en profondeur la relation entre dirigeants et cybersécurité. La formation des organes de direction n’est plus optionnelle ni une simple case à cocher : c’est une obligation légale, personnelle et traçable qui engage directement la responsabilité de chaque membre du COMEX. Les sanctions — financières, professionnelles et réputationnelles — sont à la hauteur de l’enjeu.

Avec la promulgation de la loi Résilience attendue au second semestre 2026 et les premiers contrôles ciblés prévus dès 2027, le calendrier ne laisse plus de marge. Les organisations qui engagent dès maintenant leur démarche — vérification d’éligibilité, formalisation de la gouvernance, planification des formations — bénéficieront de la posture d’accompagnement privilégiée par l’ANSSI durant la première année.

Pour structurer votre démarche de conformité NIS2 et accompagner vos dirigeants dans cette transition, Fidens — la marque cybersécurité de TVH Consulting — propose un accompagnement sur mesure : audit de maturité, formation des dirigeants, pilotage par un RSSI externalisé et préparation aux contrôles. Prenez contact avec nos experts pour évaluer votre situation et définir ensemble votre feuille de route.