NIS2 et responsabilité des dirigeants : la cybersécurité devient personnelle

Avec la mise en œuvre allemande de la directive NIS2, la cybersécurité est définitivement passée du département informatique à la direction générale. Environ 30 000 entreprises en Allemagne, ceux-ci sont soumis aux nouvelles obligations. Nettement plus que jamais, dont beaucoup qui ne se considéraient pas jusqu'alors comme des « infrastructures critiques » : constructeurs mécaniques, producteurs agroalimentaires, prestataires de services informatiques, logisticiens.

La nouveauté : responsabilité personnelle de la direction

Le cœur de la réforme réside dans § 38 BSIG: La direction générale doit elle-même [définir/superviser] les mesures de cybersécurité de son entreprise approuver et surveiller leur mise en œuvreElle peut être tenue personnellement responsable en cas de violation. Toute renonciation de la société à ces droits à indemnisation est nulle. La mise en œuvre peut être déléguée, mais pas la responsabilité. De plus, des formations sont obligatoires pour la direction générale elle-même.

Suis-je concerné ?

• Entités essentielles : notamment l'énergie, la santé, les transports, l'infrastructure numérique : à partir de 250 employés ou 50 millions d'euros de chiffre d'affaires (en partie indépendamment de la taille).
• Entités importantes : notamment l'industrie manufacturière, l'agroalimentaire, la chimie, les services numériques et les prestataires de services managés (MSP) : dès 50 salariés ou 10 millions d'euros de chiffre d'affaires.
• Concernés indirectement : Fournisseurs et prestataires de services des entités susmentionnées, concernant les exigences de chaîne d'approvisionnement de leurs clients.

Aperçu des obligations

• Enregistrement auprès du BSI et la désignation d'un point de contact.
• Gestion des risques : État de l'art, allant du contrôle d'accès et du chiffrement aux concepts de sauvegarde et à la sécurité de la chaîne d'approvisionnement.
• Obligations de notification en cas d'urgence : Première notification sous 24 heuresrapport de suivi sous 72 heures, rapport final après un mois.
• Amendes : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (entités essentielles) ou 7 millions d'euros ou 1,4 % (entités importantes).

Commencer pragmatiquement au lieu de produire du papier

La conformité NIS2 n'est pas un dossier dans une armoire, mais une exploitation informatique vécue : des systèmes patchés, des réseaux surveillés, des sauvegardes testées, des collaborateurs formés et des processus définis pour les cas d'urgence. C'est précisément là le cœur des Managed IT Services. Celui qui a structuré son exploitation de manière professionnelle remplit largement les exigences techniques de manière incidente. Le point d'entrée pertinent : une Analyse d’impact, puis une comparaison des mesures existantes par rapport aux exigences, puis un plan d'action priorisé.

Remarque : Cet article ne remplace pas un conseil juridique. Il sert d'orientation initiale ; l'examen contraignant de votre situation doit être confié à des experts.

← tous les guides