Une entreprise moyenne reçoit une lettre de son plus gros client, une clause exigeant la preuve de sa conformité à NIS2 sous quatre-vingt-dix jours, sinon le contrat s'arrête. Son dirigeant n'a jamais entendu parler de NIS2. Et il a tort de ne pas s'en inquiéter.
Le dirigeant relit la clause, perplexe. NIS2, pour lui, est une affaire européenne réservée aux réseaux électriques, aux banques, aux grands opérateurs, pas à son entreprise de logistique ou de pièces détachées. Il se trompe, et la raison de son erreur est la chose la plus intéressante de tout ce texte. Car NIS2 ne l'atteint pas par la porte qu'il surveillait, celle d'une obligation directe et nominative, mais par deux portes qu'il n'attendait pas, celle de son plus gros client devenu responsable de sa sécurité, et celle de sa propre responsabilité personnelle de dirigeant. La directive que personne n'a lue est en train de recâbler discrètement la carte des responsabilités de toute l'économie européenne, et elle le fait sans tambour, par des clauses de contrat et des devoirs attachés à des personnes.
Voici la thèse. NIS2 est célèbre pour ce qu'elle semble être, une directive technique de cybersécurité, et déterminante pour ce qu'elle est vraiment, une redistribution de la responsabilité juridique. Ses trois innovations réelles ne sont pas des mesures de sécurité, elles sont institutionnelles, elle élargit massivement le périmètre des entités concernées, elle rend les dirigeants personnellement et légalement responsables de la gouvernance du risque cyber, et elle rend chaque entité concernée responsable de la sécurité de sa chaîne d'approvisionnement. La directive dépasse donc de très loin ses cibles nommées, elle voyage le long des contrats et remonte jusqu'aux personnes physiques. On n'a pas besoin d'être désigné par NIS2 pour en être prisonnier, il suffit d'être le fournisseur d'une entité qui l'est, ou d'avoir un siège au conseil.
Le premier levier est l'élargissement du périmètre. La première directive, NIS1, avait clôturé les forteresses évidentes, l'énergie, l'eau, les banques, les grands opérateurs d'importance vitale. NIS2 clôture toute la ville autour d'elles. Elle remplace une liste étroite par un vaste ensemble de secteurs qualifiés d'essentiels ou d'importants, et y capture les entités moyennes et grandes, attirant dans son champ des milliers d'entreprises qui ne s'étaient jamais considérées comme des infrastructures critiques. Un fabricant de composants, un prestataire de services numériques, un acteur de la logistique ou de l'agroalimentaire peut désormais se découvrir concerné, alors qu'il se croyait à l'abri par sa taille modeste ou son secteur banal. Le changement d'échelle est brutal, on passe de quelques centaines d'opérateurs surveillés à des dizaines de milliers d'entités assujetties.
Le texte introduit d'ailleurs une gradation subtile entre deux catégories, les entités essentielles et les entités importantes, qui ne sont pas surveillées de la même façon. Les premières font l'objet d'un contrôle proactif, l'autorité pouvant vérifier leur conformité sans attendre l'incident, tandis que les secondes ne sont contrôlées qu'a posteriori, une fois le soupçon d'un manquement apparu. Cette distinction dessine une pyramide de la vigilance, plus une entité est jugée critique, plus l'œil du régulateur se pose sur elle en amont. Mais la frontière entre les deux catégories reste parfois floue, et beaucoup d'entreprises découvrent tardivement de quel côté elles tombent, avec des obligations et une intensité de surveillance sensiblement différentes à la clé.
Le deuxième levier est le plus profond, la responsabilité personnelle des dirigeants. NIS2 exige que les organes de direction approuvent et supervisent les mesures de gestion du risque cyber, prévoit qu'ils puissent en être tenus personnellement responsables, et impose qu'ils se forment. Le cyber cesse d'être une chose que l'on délègue au service informatique et que l'on oublie, il devient un devoir attaché à la personne même du dirigeant, assorti de sanctions. C'est ce levier qui change réellement les comportements, car une amende infligée à l'entreprise n'est qu'un coût, tandis qu'une responsabilité qui pèse personnellement sur le dirigeant est une menace. On ne gouverne pas un risque de la même manière quand c'est son propre patrimoine, et non celui de la société, qui répond de la négligence.
Cette responsabilité s'accompagne d'obligations très concrètes qui font sentir leur poids au quotidien. NIS2 impose de notifier les incidents significatifs dans des délais serrés, une première alerte en quelques heures, une notification complète dans les jours qui suivent, ce qui suppose d'avoir mis en place, en amont, la détection et les procédures nécessaires. Les sanctions ne sont pas symboliques, elles peuvent atteindre des amendes substantielles calculées sur le chiffre d'affaires mondial, et certaines transpositions prévoient jusqu'à la suspension temporaire de dirigeants de leurs fonctions. Le régime cesse alors d'être une simple exhortation à la prudence pour devenir un cadre doté de dents, où le manquement se paie en argent et parfois en carrière. C'est cette matérialité des sanctions qui transforme une obligation de papier en une contrainte réelle.
Le troisième levier est celui qui explique la lettre reçue par notre dirigeant, la cascade sur la chaîne d'approvisionnement. Les entités concernées doivent gérer le risque cyber de leurs fournisseurs, si bien qu'elles répercutent cette obligation vers le bas, par le contrat. Votre client, désormais tenu pour responsable de votre sécurité au titre de sa propre conformité, vous impose contractuellement de vous mettre en règle. La loi se diffuse alors non par l'action du régulateur, mais par contagion à travers les relations commerciales, atteignant des entreprises que l'autorité n'a jamais visées directement. Une directive qui ne vous nomme pas finit par vous obliger, transmise de maillon en maillon par la peur qu'a chacun d'être tenu pour responsable des faiblesses de son voisin.
La raison de fond de cette cascade tient à une leçon apprise dans la douleur, un attaquant n'entre pas toujours par la grande porte de sa cible, il passe souvent par un fournisseur plus petit et moins protégé, dont l'accès aux systèmes du grand donneur d'ordre devient un cheval de Troie. Sécuriser la forteresse ne sert à rien si le livreur qui en franchit les portes chaque jour laisse la sienne grande ouverte. NIS2 tire de ce constat une conséquence logique, la sécurité d'une entité vaut celle du maillon le plus faible de sa chaîne, si bien qu'obliger chacun à surveiller ses fournisseurs n'est pas une lubie bureaucratique mais la traduction juridique d'une réalité technique. La responsabilité se diffuse parce que la vulnérabilité, elle, se diffusait déjà, et la loi ne fait que suivre le chemin qu'empruntaient déjà les attaques.
Cette mécanique de diffusion est redoutablement efficace, car elle transforme chaque grande entreprise conforme en agent de transmission de la norme. Là où un régulateur devrait contrôler des dizaines de milliers d'entités une par une, tâche impossible, le marché s'en charge tout seul, chaque donneur d'ordre exigeant de ses fournisseurs ce que la loi exige de lui. La conformité descend ainsi la chaîne comme un courant, du plus gros vers le plus petit, jusqu'aux ateliers et aux prestataires qui n'ont jamais ouvert le Journal officiel de l'Union. C'est une forme de pouvoir normatif privé, où la contrainte juridique circule par le canal commercial plutôt que par le canal administratif.
Cette diffusion trouve un relais inattendu, l'assurance. À mesure que la conformité à NIS2 devient une attente du marché, les assureurs cyber s'en emparent comme critère de souscription, interrogeant l'entreprise sur sa gouvernance, ses mesures, la formation de ses dirigeants. Se mettre en règle devient alors non seulement une exigence de son client, mais une condition pour obtenir ou conserver une couverture cyber à un prix raisonnable. La directive qui n'assure rien finit ainsi par façonner le marché de l'assurance, car l'assureur récompense le conforme et pénalise le négligent. Le droit et l'assurance se renforcent mutuellement, chacun rendant l'autre plus contraignant, et l'entreprise se retrouve tenue par deux fils à la fois, celui de la loi et celui de sa police.
Le débat est ouvert, et les deux lectures se tiennent. Une première y voit une réponse élégante et attendue. Le cyber est un risque systémique et réticulaire, il se propage par les réseaux et les dépendances, donc une loi qui répartit la responsabilité à travers le réseau et la place sur les décideurs épouse la forme même du problème. La cascade contractuelle réalise, par des accords privés, ce que le régulateur ne pourrait jamais imposer entité par entité, et la responsabilité personnelle force enfin les dirigeants à traiter le cyber comme un enjeu de gouvernance, non comme une ligne de budget technique.
La lecture inverse est plus sévère. NIS2 impose des obligations lourdes et coûteuses à des petites et moyennes entreprises qui n'ont pas les ressources des banques sur lesquelles le modèle a été pensé, au risque de faire naître une industrie de la paperasse de conformité, productrice de documents plutôt que de sécurité réelle. La menace de responsabilité personnelle peut dissuader des personnes compétentes d'accepter un siège au conseil, ou paralyser la décision par excès de prudence. À cela s'ajoute la fragmentation, une directive se transpose différemment dans chaque État membre, si bien qu'une entreprise paneuropéenne affronte vingt-sept versions légèrement divergentes de la même loi, plusieurs États ayant d'ailleurs transposé en retard. Et un effet plus subtil, en poussant la responsabilité sur les dirigeants et les fournisseurs, la loi pourrait améliorer la sécurité sur le papier tout en concentrant la capacité cyber réelle chez les quelques grands acteurs qui peuvent se l'offrir, étouffant les petits qu'elle prétend protéger.
Un mot, enfin, sur la réalité de la mise en œuvre, car elle nuance le tableau. NIS2 devait être transposée dans le droit de chaque État membre pour l'automne 2024, mais plusieurs pays ont pris du retard, si bien que le paysage réel est resté longtemps inégal, certaines entreprises pleinement soumises, d'autres attendant encore leur loi nationale. Cette mise en œuvre à plusieurs vitesses crée une insécurité juridique paradoxale, l'obligation existe à l'échelle européenne mais son exigibilité concrète varie d'un pays à l'autre, et une même entreprise transfrontalière peut se trouver déjà contrainte ici et encore en sursis là. Le décalage entre l'ambition du texte et la lenteur de sa traduction nationale est lui-même un enseignement, une directive ne devient vraiment réelle que le jour où vingt-sept parlements l'ont faite leur, et ce jour n'arrive jamais partout en même temps.
NIS2 est le moment où la cybersécurité a cessé d'être une ligne du budget informatique pour devenir une question de responsabilité juridique, celle de savoir qui répondra le jour où le réseau tombera. La directive que personne n'a lue redessine en silence la carte des responsabilités de l'économie européenne, non par des contrôles spectaculaires, mais par des clauses dans les contrats et des devoirs sur les dirigeants. Elle déplace le cyber du sous-sol technique vers la salle du conseil, et du bilan de l'entreprise vers le patrimoine des personnes.
La question qu'elle laisse ouverte n'est donc pas de savoir si vous êtes conforme, elle est de savoir qui sera tenu pour responsable, personnellement, le jour où la faille surviendra. Et cette question voyage désormais vers des gens qui n'ont jamais lu une seule ligne de la loi qui les nomme, portée non par le régulateur mais par la lettre de leur plus gros client. La directive obscure est devenue, sans bruit, l'un des textes les plus déterminants pour tout dirigeant européen, précisément parce qu'elle agit sur celui qui l'ignore.
Ce déplacement dépasse d'ailleurs le seul cyber, il annonce une tendance de fond, celle qui fait passer d'innombrables risques du bilan de l'entreprise vers la responsabilité personnelle de ceux qui la dirigent. Après le cyber viendront le climat, l'intelligence artificielle, la conformité sociale, chacun assorti de son devoir de vigilance et de sa menace de mise en cause individuelle. NIS2 n'est ainsi qu'un cas précoce d'un mouvement plus large, la personnalisation de la responsabilité, où l'on cesse de sanctionner des structures abstraites pour tenir des personnes nommées. C'est une manière puissante de changer les comportements, car rien ne concentre l'attention d'un dirigeant comme l'idée que son propre nom figure au bas de l'acte, et cette logique ne fera que s'étendre dans les années qui viennent.
Pour aller plus loin, le texte même de la directive NIS2, les orientations de l'ENISA sur sa mise en œuvre, et les suivis de transposition nationale publiés par les autorités et les cabinets spécialisés permettent de mesurer l'étendue réelle du dispositif.
En écho, l'article de fond 08 d'AlgoPolis, NIS2 et la nouvelle architecture de la responsabilité cyber, détaille le périmètre, les sanctions et les obligations du texte.
NIS2 ne mentionne pas une seule fois l'assurance, et ne régule pas directement les assureurs. Pourtant, en relevant le socle de cybersécurité de quinze à vingt mille entités françaises et en rendant les dirigeants personnellement responsables, cette directive redessine en profondeur le risque que les assureurs souscrivent.
Économie souterraine, marchés de la rançon et tarification par les assureurs : comment le ransomware est devenu une industrie structurée dont la croissance est partiellement financée par les indemnisations des polices cyber.
Solvabilité II repose sur deux postulats hérités de l'actuariat classique, la possibilité de diversifier des risques faiblement corrélés et celle d'en estimer la distribution à partir de données historiques. Le risque cyber contredit l'un et l'autre.
Le régulateur pose une question simple, combien d'argent devez-vous garder pour survivre à votre pire année sur deux siècles. Pour un portefeuille d'ouragans, l'actuaire répond sans ciller. Pour un portefeuille de rançongiciels, la salle se tait.