NIS 2 : former les dirigeants et les équipes sans attendre la loi

Au 2 novembre 2026, aucune loi française n'oblige un dirigeant à suivre une formation NIS 2. La directive devait être transposée au plus tard le 17 octobre 2024, la Commission européenne a décidé de saisir la Cour de justice contre la France en juillet 2026, et le projet de loi a été retiré de l'ordre du jour de l'Assemblée le 6 octobre. Le texte prévoit pourtant une formation des organes de direction, et le dirigeant d'une entité essentielle pourrait, en dernier recours, se voir interdire d'exercer ses fonctions. Voici ce qui s'applique déjà, ce qui n'est qu'un projet, et ce qu'il est rationnel de lancer avant le vote.

NIS 2 et formation des dirigeants : ce qui est en vigueur et ce qui ne l'est pas

Certaines offres commerciales présentent la formation NIS 2 comme déjà imposée. Il faut séparer trois niveaux.

Ce qui s'applique aujourd'hui

La directive (UE) 2022/2555 a pour destinataires les États membres (article 46). Son article 20 § 2 demande aux États de veiller à ce que les membres des organes de direction soient tenus de suivre une formation. Il ne crée pas, à lui seul, une obligation qu'une autorité française pourrait opposer à votre société, et aucune autorité n'a aujourd'hui de régime de sanction français fondé sur ce texte. Une recherche par mots-clés sur Légifrance, non exhaustive, ne fait ressortir à ce jour aucune décision de juridiction sur cette directive.

D'autres textes s'appliquent, eux, sans attendre. L'article 32 du RGPD impose une sécurité adaptée au risque dès que vous traitez des données personnelles, et l'article L6321-1 du Code du travail oblige l'employeur à assurer l'adaptation des salariés à leur poste et à veiller à leur employabilité, au regard notamment de l'évolution des technologies. Dans la finance, l'article 5 § 4 du règlement DORA impose déjà aux membres de l'organe de direction de tenir leurs connaissances à jour, notamment par une formation régulière proportionnée au risque lié aux TIC. Les opérateurs de services essentiels restent soumis à la loi n° 2018-133 et les opérateurs d'importance vitale à l'article L1332-6-1 du Code de la défense.

Ce qui est en cours de procédure

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée le 10 septembre 2025. Inscrit aux séances des 7 et 9 octobre 2026, il en a été retiré. Le relevé de la Conférence des présidents du 27 octobre ne le mentionne pas pour les semaines annoncées jusqu'au 20 novembre. Puis, selon une dépêche AFP du 3 novembre 2026, la Conférence des présidents a retenu le principe d'une inscription à partir du 9 novembre, si l'examen du budget libère du temps de séance. La suite dépend du calendrier parlementaire, puis d'un décret en Conseil d'État. Pour la procédure et les secteurs visés, voyez notre article sur l'état de la transposition de NIS 2 en France.

Ce qui relève de la bonne pratique

Le Référentiel Cyber France (ReCyF) de l'ANSSI, version 2.5 du 17 mars 2026, porte la mention « version de travail ». Il ne s'impose à personne aujourd'hui. Il indique toutefois ce que l'ANSSI envisage d'attendre.

Ce que le projet de loi prévoit pour les organes de direction

Dans la version adoptée en commission spéciale, l'article 14 prévoit que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité. Il ajoute que leurs membres, « ainsi que les personnes exposées aux risques », doivent être formés à la cybersécurité « en fonction de leur degré d'exposition au risque ».

L'article 20 de la directive impose la formation aux dirigeants et encourage seulement une formation similaire du personnel, même si son article 21 § 2 g range la formation à la cybersécurité parmi les mesures de sécurité. Le texte français, dans cette version, est plus direct : il vise aussi les personnes exposées, sans les nommer. Tout le personnel n'est donc pas concerné au même degré. Ce critère d'exposition vous oblige à une analyse : qui, chez vous, peut réellement causer ou aggraver un incident ?

Les sanctions prévues

L'article 37 de la même version fixe les plafonds : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Ces chiffres reprennent les plafonds minimaux que l'article 34 de la directive impose aux États.

La mesure qui parle le plus aux dirigeants figure à son V. La commission des sanctions pourrait, si les mesures d'exécution sont restées inefficaces, interdire à toute personne physique exerçant les fonctions de dirigeant dans une entité essentielle d'exercer des responsabilités dirigeantes dans cette entité, jusqu'à ce qu'il soit remédié au manquement. La portée est donc limitée : entités essentielles seulement, dernier recours, durée liée à la mise en conformité. Présenter cette mesure comme un risque immédiat pour tout chef d'entreprise serait faux.

Point de vigilance. Tous ces articles peuvent encore changer. La presse parlementaire compte près de 400 amendements déposés pour la séance. Cet article cite la version de la commission spéciale, pas une loi. Toute numérotation ou tout montant devra être contrôlé sur le texte promulgué.

Pourquoi former sans attendre le vote de la loi

Attendre paraît raisonnable, puisque rien n'est obligatoire. Quatre raisons plaident pourtant pour agir.

Le délai réel peut être plus court qu'il n'y paraît

Selon la presse spécialisée, le directeur général de l'ANSSI a évoqué lors d'une audition du 1er octobre 2026 une conformité complète pour fin 2028, ainsi que des « galops d'essai ». C'est une intention rapportée, pas une règle, et son point de départ dépend d'une loi qui n'existe pas. Mais un programme de formation se construit après une cartographie des rôles et des risques : il ne s'improvise pas dans les dernières semaines, surtout si vos grands clients vous interrogent avant l'ANSSI.

Vos clients n'attendront pas

L'article 21 § 2 d de la directive inclut dans les mesures de sécurité les relations avec les fournisseurs directs. Une entité concernée peut donc demander à ses prestataires des garanties, par questionnaire ou clause contractuelle. C'est la voie par laquelle une petite société de services, hors champ par sa taille, voit arriver NIS 2, et un sujet à traiter dans le cadrage juridique d'une startup. La question « vos équipes sont-elles formées, et pouvez-vous le prouver ? » est une question de vente avant d'être une question de droit.

Une filiale à l'étranger peut déjà être concernée

La France est en retard, mais pas tous ses voisins. En Allemagne, la loi de transposition est en vigueur depuis le 6 décembre 2025. Son § 38 alinéa 3 impose aux directions des entités concernées de suivre régulièrement des formations. En Belgique, la loi du 26 avril 2024 s'applique depuis le 18 octobre 2024. Un groupe français avec une filiale dans l'un de ces pays doit donc vérifier sa situation locale.

Votre responsabilité de dirigeant existe déjà

Les gérants de SARL répondent de leurs fautes de gestion (article L223-22 du Code de commerce), les administrateurs et directeurs généraux de SA aussi (L225-251), et l'article L227-8 étend ces règles aux dirigeants de SAS. Aucun de ces textes ne parle de cybersécurité. Après un incident grave, un associé ou un liquidateur peut toutefois soutenir qu'un risque connu a été ignoré. Le juge national doit interpréter son droit, autant que possible, à la lumière du droit de l'Union (Cass. soc., 13 septembre 2023, n° 22-17.340, sur un autre sujet). Aucune décision appliquant ce raisonnement à NIS 2 n'a été trouvée : c'est un argument possible, pas une jurisprudence. Pour les fondements, lisez notre article sur la responsabilité des dirigeants face aux cyberattaques.

La formation ne protège pas seule. Le 22 janvier 2026, la CNIL a infligé 5 millions d'euros à France Travail (SAN-2026-003) après une attaque par ingénierie sociale : les griefs portent sur l'authentification, la journalisation et les habilitations, pas sur la sensibilisation. Former sans corriger les mesures de sécurité ne vous couvrirait pas.

Êtes-vous concerné ? Startups et éditeurs SaaS

Dans la version de la commission spéciale, l'article 9 vise, pour les secteurs couverts, les entreprises d'au moins 50 personnes, ou dont le chiffre d'affaires et le total du bilan excèdent chacun 10 millions d'euros. L'article 8 vise, dans les secteurs hautement critiques, celles d'au moins 250 personnes, ou dont le chiffre d'affaires excède 50 millions et le bilan 43 millions d'euros. Dans la directive, quelques activités, comme les services de confiance qualifiés ou les services DNS, sont visées quelle que soit leur taille.

Dans cette version, l'article 8, 6° range aussi parmi les entités essentielles « les éditeurs de logiciels », sans seuil de taille ni définition. La mention vient de l'amendement CS178, adopté en commission en septembre 2025 contre l'avis de la rapporteure, le rapporteur général s'en remettant à la sagesse de la commission. Les annexes de la directive ne listent pas cette catégorie. À la lettre, une startup de 20 personnes qui édite un logiciel serait donc une entité essentielle, exposée au plafond de 10 millions d'euros et à l'interdiction vue plus haut. La séance peut supprimer ou préciser ces mots : c'est le premier point à surveiller.

Même sans cette mention, un autre point vise les éditeurs. Le considérant 33 de la directive range le logiciel en tant que service (SaaS) parmi les modèles de l'informatique en nuage, et les fournisseurs de services d'informatique en nuage figurent à l'annexe I. Un éditeur SaaS de 60 personnes devrait donc vérifier sérieusement sa qualification. Elle dépend de la nature exacte du service. Elle se fait au cas par cas, et non sur la seule étiquette commerciale.

Pour ces fournisseurs, le texte français renvoie à un règlement déjà publié. Le règlement d'exécution (UE) 2024/2690 fixe des exigences techniques pour les fournisseurs de cloud, de centres de données, de services gérés, de places de marché et quelques autres. Il est en vigueur depuis novembre 2024 et il est directement applicable. Mais il précise l'article 21 de la directive pour des entités que la France n'a pas encore qualifiées : son effet concret en France, avant la loi, reste incertain. Mieux vaut le lire comme la description la plus précise de ce qui attend ces fournisseurs, pas comme une base de sanction actuelle.

Former les dirigeants : le contenu qui répond à l'article 20

L'article 20 § 2 fixe l'objectif : des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques, ainsi que leur impact sur les services fournis. Il ne fixe ni programme, ni format, ni organisme. Aucun texte français ou européen consulté n'exige de certificat.

La meilleure référence publique vient d'Allemagne. L'autorité fédérale, le BSI, a actualisé le 17 avril 2026 sa recommandation sur la formation des directions. Elle ne s'applique pas en France, mais elle commente une disposition issue du même article. Elle retient trois noyaux :

• L'analyse des risques : comprendre comment l'entreprise identifie et évalue ses risques, et savoir contester le résultat.
• Les pratiques de gestion des risques : connaître les mesures choisies, leur coût et ce qu'elles laissent de côté.
• Les effets sur l'activité : mesurer ce qu'un incident ou une mesure produit sur les services rendus.

Le BSI insiste sur des exercices fondés sur des scénarios, et note que l'apport d'une expertise extérieure, notamment juridique, peut aider une direction à apprécier ce que lui rapportent ses équipes internes. Il recommande une formation initiale approfondie, puis des rappels adaptés au risque. Il cite comme déclencheurs un changement de direction, ou une évolution sensible des processus, de l'exposition ou des mesures de sécurité.

Les décisions qu'un dirigeant doit savoir prendre

J'ajouterais quatre sujets que la direction ne peut pas déléguer :

1. Approuver les mesures de sécurité en connaissance de cause, avec une trace de la décision. Le ReCyF prévoit que le dirigeant exécutif approuve la politique de sécurité.
2. Arbitrer le budget : accepter un risque résiduel, c'est une décision de gestion.
3. Tenir les délais d'incident : l'article 17 du projet prévoit une notification initiale sous 24 heures et une notification intermédiaire sous 72 heures, puis un rapport final un mois plus tard, ou un rapport d'avancement si l'incident n'est pas traité. Qui décide un dimanche soir ?
4. Traiter la chaîne de sous-traitance : ce que vous promettez à vos clients et ce que vous exigez de vos fournisseurs.

Reste une question ouverte : qui est visé ? La directive parle d'« organes de direction », le ReCyF de « dirigeant exécutif », le projet de loi de « membres de ces organes ». Pour une SAS sans conseil, le président et le directeur général paraissent concernés. Pour un comité stratégique ou un conseil d'administration, il faudra attendre le texte final. Dans le doute, incluez-les.

Former les équipes : qui sont les personnes exposées

L'article 21 § 2 g de la directive classe les pratiques de base de cyberhygiène et la formation à la cybersécurité parmi les mesures de gestion des risques, et le considérant 89 cite le hameçonnage et l'ingénierie sociale.

Ce que demandent le règlement 2024/2690 et le ReCyF

L'annexe du règlement distingue deux étages. Le point 8.1 prévoit un programme de sensibilisation pour tous les employés, y compris les membres des organes de direction, répété dans le temps et adressé aux nouveaux arrivants, ainsi que pour les fournisseurs directs si besoin. Le point 8.2 prévoit une formation régulière pour les employés dont le rôle exige des compétences de sécurité, adaptée à leur fonction, et dont l'efficacité est évaluée.

Le ReCyF suit la même logique dans son objectif 4 : une charte d'usage opposable aux utilisateurs, un programme de sensibilisation tout au long de la présence dans l'entité, un processus d'arrivée, de départ et de changement de fonction, et des formations dédiées pour les fonctions à responsabilité dans le numérique. Son objectif 15 ajoute au moins un exercice sur table pour les personnes mobilisables en crise. Ces moyens ne seraient en principe pas obligatoires en eux-mêmes : ils serviraient à démontrer l'atteinte de l'objectif.

Une cartographie plutôt qu'un catalogue

Le critère d'exposition du projet de loi se traduit en profils concrets, à ajuster selon votre activité :

• Administrateurs et équipes d'exploitation : comptes à privilèges, accès distants, sauvegardes.
• Développeurs : vulnérabilités, données de production en test, dépendances.
• Support client : accès aux environnements des clients, vérification d'identité de l'appelant.
• Finance et achats : faux ordres de virement, sélection et suivi des fournisseurs.
• RH : arrivées et départs, donc ouverture et fermeture des accès.

Ne créez pas un parcours NIS 2 à côté de vos actions RGPD. Le socle est le même, et les preuves se recoupent. J'explique cette construction dans l'article sur le programme unique de sensibilisation RGPD et cybersécurité, y compris le cadrage juridique des tests de hameçonnage.

Prouver la formation NIS 2 : ce qu'il faut conserver

Aucun texte français ne fixe encore le format de la preuve. Le BSI donne un modèle utile. Selon lui, une documentation sérieuse indique au minimum le prestataire ou le service interne, les participants avec leur fonction, la date, l'heure et la durée, les contenus traités et leur lien avec la loi. Il ne prévoit aucun examen obligatoire.

Il ajoute une remarque décisive : cette documentation prouve la présence, pas la compétence. Une direction a acquis les connaissances requises quand elle participe de façon active et traçable au pilotage des risques.

Le dossier que je recommande tient donc en cinq pièces :

1. La matrice des rôles exposés, avec sa date et sa justification.
2. Les supports, versionnés.
3. Les listes de présence, y compris pour la direction.
4. Les procès-verbaux où la direction approuve les mesures et arbitre les risques.
5. Le compte rendu des exercices et le plan d'action qui en résulte.

Ce dossier sert immédiatement : questionnaire client, audit interne, assureur, contrôle CNIL sur l'article 32. Prévoyez une révision dès la publication de la loi et du décret, pour aligner les contenus sur le texte final.

Scénario type : un éditeur SaaS de 60 personnes

Prenons un cas fictif : un éditeur SaaS de 60 personnes, qui vend à des hôpitaux et à des collectivités, sans filiale étrangère.

Premier temps, qualifier. L'éditeur documente son analyse : éditeur de logiciels au sens de l'article 8 du projet, service d'informatique en nuage ou non, entité essentielle ou importante selon le texte final. Il recense aussi ce que ses clients lui demandent déjà par contrat.

Deuxième temps, former la direction. Le président, le directeur technique et le directeur financier suivent une session construite sur un scénario : indisponibilité de la plateforme un vendredi soir, données de patients possiblement touchées, client hospitalier qui appelle. La session aboutit à des décisions : qui notifie, qui parle aux clients, quel budget pour quelle mesure. Ces décisions sont consignées dans un procès-verbal.

Troisième temps, cartographier et étendre. Les profils exposés sont identifiés, et les contenus sont ajoutés au programme existant de sensibilisation. L'éditeur prévoit un exercice sur table avec les personnes mobilisables en crise.

Quatrième temps, revoir. À la publication de la loi, il compare son dossier au texte adopté et au décret, puis ajuste.

Par où commencer cette semaine

1. Faites qualifier votre situation, y compris vos filiales et votre rôle de fournisseur.
2. Inscrivez la cybersécurité à l'ordre du jour de la prochaine réunion de direction, et gardez-en une trace.
3. Listez les fonctions exposées, sans attendre un catalogue de formation.
4. Méfiez-vous de toute offre qui promet une formation « obligatoire » au titre de NIS 2 ou un certificat exigé par la loi : ni l'un ni l'autre n'existe en France à cette date.

Je suis avocat et développeur : je peux lire votre architecture et vos contrats, puis traduire le texte en décisions concrètes pour votre direction. Le cabinet n'audite pas vos systèmes et ne remplace pas votre prestataire de sécurité. Il traite le volet juridique, de la qualification à la documentation. Pour le cadre complet, voyez ma page avocat NIS 2. Si vous hésitez sur votre qualification ou sur ce que vous pouvez répondre à un client, échangeons sur votre situation.