Obligation imposée aux membres de l'organe de direction d'approuver, superviser et se former aux mesures de cybersécurité, sous peine d'engager leur responsabilité personnelle.
La responsabilité fiduciaire en cybersécurité désigne l'obligation, consacrée par l'article 20 de la directive NIS2, qui érige la cybersécurité en devoir de diligence de l'organe de direction lui-même, et non plus seulement de la direction technique. Les membres de la direction, qu'il s'agisse du conseil d'administration, du directoire ou de tout autre organe équivalent, doivent approuver les mesures de gestion du risque cyber, en superviser la mise en oeuvre et suivre une formation adaptée. En cas de manquement, leur responsabilité personnelle peut être recherchée, indépendamment de celle de l'entreprise. Cette évolution marque une rupture fondamentale, car elle déplace la cybersécurité de la sphère opérationnelle du responsable de la sécurité des systèmes d'information vers la gouvernance fiduciaire du conseil, au même titre que les obligations comptables ou de contrôle interne. Les transpositions nationales ont amplifié ce principe, l'Allemagne prévoyant des amendes personnelles pouvant atteindre cinq cent mille euros et la directive autorisant l'interdiction temporaire d'exercer des fonctions dirigeantes pour les entités essentielles. Cette nouvelle responsabilité a des conséquences directes sur le marché de l'assurance D&O, dont le périmètre se trouve étendu aux sinistres d'origine cyber révélant une carence de gouvernance, créant une convergence inédite avec la police cyber de l'entreprise.
Le directeur général d'une entreprise pharmaceutique française, entité essentielle sous NIS2, n'a pas assisté aux formations obligatoires et n'a pas validé le plan de mise à jour des systèmes critiques. Après une attaque par rançongiciel exploitant une faille non corrigée, l'ANSSI documente le manquement aux obligations de l'article 20. La police D&O de l'entreprise couvre les frais de défense du dirigeant, mais les autorités envisagent une amende personnelle de deux cent mille euros. L'assureur D&O vérifie si la police exclut les manquements réglementaires délibérés et ouvre une enquête de responsabilité partagée avec l'assureur cyber de l'entreprise.
devoir de diligence cyber, responsabilité dirigeants cybersécurité, cyber governance duty, duty of care cyber