NIS2 formation dirigeants : obligation et transposition française

La formation des dirigeants NIS2 est une obligation de la directive (UE) 2022/2555. Son article 20 impose aux États membres d'exiger une formation en cybersécurité des membres des organes de direction des entités essentielles et importantes. La directive demande aussi d'encourager une formation similaire pour les salariés. En France, la loi de transposition n'est pas encore définitivement adoptée à la date de cet article.

Voici ce que dit le texte européen, où en est la transposition française, et comment organiser une formation qui serve la décision plutôt que l'attestation.

Ce que dit l'article 20 de la directive NIS2

L'article 20 traite de la gouvernance. Son premier paragraphe demande aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de répondre des violations. Les dirigeants ne peuvent donc pas déléguer la cybersécurité sans la suivre.

Le paragraphe 2 en tire la conséquence sur la formation. Les membres des organes de direction doivent suivre une formation. Les entités doivent être encouragées à proposer régulièrement des formations similaires à leurs employés. L'objectif est d'acquérir des connaissances suffisantes pour identifier les risques. Il s'agit aussi d'évaluer les pratiques de gestion du risque et leur effet sur les services de l'entité.

L'obligation est ferme pour les dirigeants, et incitative pour les salariés. C'est une différence importante avec DORA, qui exige des modules pour tout le personnel. Notre article sur la formation DORA compare les deux textes.

La formation du personnel : l'article 21

L'article 21, paragraphe 2, liste les mesures minimales de gestion des risques. Le point g) vise les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité. La sensibilisation du personnel fait donc partie du socle, même si l'article 20 ne la rend qu'encouragée.

Concrètement, une entité qui ne forme pas ses équipes aura du mal à démontrer que ses mesures sont « appropriées et proportionnées ».

Qui est concerné par NIS2 ?

La directive distingue les entités essentielles et les entités importantes. Elles relèvent de plusieurs secteurs : énergie, transports, santé, banques et infrastructures de marchés financiers, entre autres. Selon le Sénat, la transposition française porterait de 6 à 18 le nombre de secteurs régulés.

Les banques et les infrastructures financières relèvent aussi de DORA, qui s'applique en priorité pour le risque TIC dans le secteur financier. Une entité doit donc vérifier quel texte la vise, et ne pas cumuler deux programmes là où un seul suffit.

Les collectivités territoriales entrent dans le périmètre envisagé par le projet de loi. Pour elles, la formation des élus et de la direction générale devient un sujet à part entière. Notre article sur la sensibilisation dans les collectivités et les hôpitaux en traite.

Où en est la transposition française ?

La directive devait être transposée avant le 17 octobre 2024. Le projet de loi « résilience » a été présenté en Conseil des ministres le 15 octobre 2024. Son titre complet est : résilience des infrastructures critiques et renforcement de la cybersécurité. Il transpose NIS2, la directive sur la résilience des entités critiques et le volet de DORA qui concerne le secteur financier.

Le Sénat a adopté le texte en mars 2025. La commission spéciale de l'Assemblée nationale l'a voté en septembre 2025. L'examen en séance publique n'a pas abouti au moment où nous écrivons, selon la presse spécialisée.

Début juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l'Union européenne. Elle vise la France et d'autres États, pour non-transposition. La plateforme MonEspaceNIS2 de l'ANSSI précise que NIS2 entrera en vigueur en France quand la loi, les décrets et les arrêtés seront publiés. Toutes les exigences ne s'appliqueront pas le même jour.

Selon le Sénat, le texte concernerait environ 15 000 entités essentielles et importantes, ainsi que près de 1 500 collectivités territoriales.

Que prévoit le projet de loi sur la formation ?

Dans sa version initiale, le projet prévoyait un pilotage de la sécurité des systèmes d'information. Ce pilotage incluait la formation à la cybersécurité des membres des organes de direction. Le Sénat a estimé que cette rédaction transposait trop peu l'article 20 et a étendu la formation aux personnes exposées aux risques cyber.

Le texte peut encore évoluer jusqu'à son adoption définitive. Avant de bâtir un plan, vérifiez la version en vigueur sur Légifrance et sur le site de l'ANSSI.

Pourquoi ne pas attendre ? Parce que l'écart entre l'adoption de la loi et son application laisse peu de temps, et que les attentes de la directive sont déjà connues.

Un plan de formation en quatre étapes pour la direction

1. Identifier les personnes visées. Membres du conseil d'administration ou du directoire, comité de direction, et assistants qui filtrent les appels et les demandes.
2. Fixer les objectifs de décision. Que doit savoir arbitrer un dirigeant un jour d'incident, et que doit-il refuser un jour d'appel frauduleux ?
3. Alterner exposé et pratique. Un court apport sur le cadre juridique, puis une mise en situation sur un scénario de crise ou de fraude.
4. Documenter et réexaminer. Une trace par personne, et une révision annuelle des contenus.

Les erreurs fréquentes

• Déléguer la formation au seul RSSI. L'article 20 place la responsabilité sur l'organe de direction lui-même.
• Attendre la loi pour agir. Les attentes de la directive sont publiques depuis décembre 2022.
• Former sans évaluer. Une présence en salle ne dit rien de ce qui a été compris.
• Oublier l'entourage. Les assistants de direction reçoivent les appels que les attaquants visent en premier.

Former des dirigeants : ce qui fonctionne

Un dirigeant n'a pas besoin de comprendre le chiffrement. Il doit savoir poser les bonnes questions, arbitrer entre sécurité et continuité, et ne pas céder quand une attaque passe par lui.

Trois contenus utiles

• Le risque en langage métier : ce qu'une interruption de service coûte, ce qu'il faut notifier, à qui.
• Les décisions de crise : payer ou non, couper ou maintenir un service, informer les clients.
• Les attaques qui visent les dirigeants : faux ordres, faux fournisseurs, usurpation d'identité par téléphone.

Le dernier point est souvent négligé. Les dirigeants et leur entourage sont des cibles privilégiées de la fraude au faux ordre. Notre article sur la fraude au président décrit le mécanisme.

Pourquoi la mise en situation convient aux comités de direction

Les dirigeants ont peu de temps et peu de patience pour les modules génériques. Ils retiennent mieux une situation vécue : un appel, une décision à prendre en quelques minutes, un enjeu financier.

Imaginons un directeur financier qui reçoit un appel d'une personne se disant mandatée par le président pour une opération confidentielle. Elle demande un virement urgent et insiste sur la discrétion. Les bonnes réponses sont des phrases simples :

• « Je note votre demande et je rappelle le président sur son numéro habituel. »
• « Aucun virement n'est exécuté en dehors de la double validation. »
• « La confidentialité n'exclut pas la procédure. »

Face Up permet à un formateur de créer ce jeu de rôle à partir de ses cas réels. Le dirigeant parle avec un persona joué par une IA. Il reçoit ensuite un débriefing : points forts, points à améliorer, citations de ses propres mots. Il peut rejouer pour tenir sa position.

Prouver la formation de la direction

La directive exige une formation, et le régulateur voudra la voir. Conservez la date, le contenu, la liste des participants et une évaluation. Les débriefings de sessions de pratique montrent ce que le dirigeant sait faire, pas seulement qu'il était présent. Nous détaillons ces traces dans l'article sur la preuve de formation face à l'auditeur.

Questions fréquentes

La formation des dirigeants est-elle déjà obligatoire en France ?

La directive l'impose aux États membres, mais l'obligation ne s'appliquera aux entités françaises qu'une fois la loi de transposition adoptée et promulguée. La préparation reste utile dès maintenant.

Faut-il aussi former les salariés ?

La directive demande de l'encourager, et l'article 21 place la cyberhygiène et la formation parmi les mesures minimales. Le projet de loi français, dans sa version sénatoriale, étend la formation aux personnes exposées.

Quelle durée de formation faut-il prévoir ?

Le texte ne donne ni durée ni fréquence précise. Il demande une formation suffisante pour identifier les risques et évaluer les pratiques de l'entité.

Quel rapport avec la sensibilisation au vishing ?

Les dirigeants et leurs équipes sont ciblés par des appels qui imitent la hiérarchie ou un fournisseur. Notre guide sur la sensibilisation cybersécurité au vishing propose une méthode pour s'y entraîner.

Pour préparer NIS2 sans attendre la loi, planifiez une session de pratique avec votre comité de direction et ses assistants. Notre panorama des formations obligatoires aide à la placer dans l'ensemble de vos obligations. Pour voir un jeu de rôle sur une décision de dirigeant, réservez une démonstration.