Les trois premiers articles de ce dossier sur la cybersécurité ont posé le décor : la menace est réelle, les PME sont des cibles à part entière, et vos données ont de la valeur pour quelqu’un d’autre que vous. Reste une question que beaucoup de dirigeants préfèrent ne pas se poser : si l’incident survient, qui est responsable ?
La réponse est directe. En droit, c’est vous.
Ce que la loi prévoit déjà : le RGPD
Le RGPD impose depuis 2018 au responsable de traitement, donc à l’entreprise et à son dirigeant, des mesures de sécurité adaptées aux risques. En cas de manquement : amendes CNIL jusqu’à 20 millions d’euros ou 4 % du CA mondial, et sanctions pénales pouvant atteindre 5 ans d’emprisonnement et 300 000 euros d’amende pour le dirigeant personnellement (articles 226-16 et suivants du Code pénal).
Ce n’est pas théorique. En janvier 2026, la CNIL a sanctionné Free et Free Mobile pour 42 millions d’euros après une fuite exposant 24 millions d’abonnés. France Travail a écopé de 5 millions d’euros pour des failles ayant ouvert l’accès aux données de millions de demandeurs d’emploi.
Dans les deux cas, la CNIL n’a pas sanctionné l’attaque. Elle a sanctionné l’insuffisance des mesures de sécurité. Des décisions de gouvernance, pas des problèmes de câblage.
NIS 2 et la responsabilité personnelle du dirigeant
La directive NIS 2 change la donne. Pour la première fois, un texte impose aux membres de l’organe de direction d’approuver les mesures de gestion des risques cyber, de superviser leur mise en oeuvre, de se former, et d’assumer la responsabilité en cas de manquement. Sanctions : jusqu’à 10 millions d’euros ou 2 % du CA mondial, avec possibilité d’interdiction temporaire d’exercice.
En France, la transposition passe par la loi Résilience, adoptée au Sénat en mars 2025 et examinée en commission à l’Assemblée en septembre 2025. Promulgation attendue courant 2026, conformité sous trois ans. L’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF) qui liste les mesures recommandées. Entre 15 000 et 18 000 entités seront concernées, prestataires et fournisseurs critiques inclus.
L’effet de cascade : même si vous n’êtes pas directement visé
Même si votre entreprise ne dépasse pas les seuils de NIS 2, vos clients, eux, y sont peut-être soumis. Ils vous demanderont des garanties. Ne pas pouvoir les fournir, c’est perdre le marché. La conformité de vos clients devient votre contrainte commerciale.
Trois niveaux de responsabilité à connaître
La responsabilité administrative d’abord : c’est la CNIL pour le RGPD, l’ANSSI pour NIS 2. Amendes, injonctions de mise en conformité, astreintes journalières, et surtout publication de la sanction. Le dommage réputationnel est souvent plus coûteux que l’amende elle-même.
La responsabilité civile ensuite : les clients, salariés ou partenaires dont les données ont été exposées peuvent demander réparation devant le tribunal judiciaire.
La responsabilité pénale enfin : les articles 226-16 et suivants du Code pénal visent le dirigeant personnellement. La personne morale peut être condamnée, mais le dirigeant aussi, pour les mêmes faits.
Six décisions à prendre sans compétence technique
Aucune de ces actions ne demande de compétence technique. Ce sont des décisions de dirigeant.
- Inscrire la cybersécurité à l’ordre du jour du comité de direction, ne serait-ce qu’une fois par trimestre.
- Contacter son assureur : Il peut vous accompagner pour cerner certains risques et il a un devoir de conseil vis à vis vous et de l’entreprise (Résponsabilité civile du dirigeant).
- Demander un état des lieux écrit de la posture de sécurité de l’entreprise.
- Vérifier que la procédure de notification à la CNIL en cas de violation (72 heures) est organisée et connue.
- S’assurer qu’un plan de réponse à incident existe, même d’une page.
- Relire les contrats avec les prestataires IT : que surveillent-ils, que garantissent-ils, en combien de temps interviennent-ils ?
- Vérifier votre exposition à NIS 2 sur MonEspaceNIS2, l’outil mis en ligne par l’ANSSI.
Sources et références
- CNIL · Sanction Free / Free Mobile, 42 millions d’euros, janvier 2026 · cnil.fr
- CNIL · Sanction France Travail, 5 millions d’euros, janvier 2026 · cnil.fr
- RGPD · Article 32 (sécurité du traitement) · Article 83 (sanctions administratives)
- Code pénal · Articles 226-16 et suivants (atteintes aux droits de la personne résultant des fichiers ou traitements informatiques)
- Directive NIS 2 · (UE) 2022/2555, articles 20 (gouvernance) et 21 (mesures de gestion des risques)
- ANSSI · Référentiel Cyber France (ReCyF), 17 mars 2026 · cyber.gouv.fr
- ANSSI · MonEspaceNIS2 · monespacenis2.cyber.gouv.fr
- Sénat · Projet de loi relatif à la résilience des infrastructures critiques · senat.fr