L'ignorance n'est pas une excuse : pourquoi la formation des conseils d'administration aux risques cyber n'est plus une option — et ne suffit plus

Les nouvelles exigences des régulateurs

NIS2 (Directive (UE) 2022/2555), en vigueur pour les entités essentielles et importantes depuis octobre 2024, traite deux points dans un même article. L'article 20(1) impose aux organes de direction d'approuver les mesures de gestion des risques cyber de l'entité et d'en superviser la mise en œuvre, tout en prévoyant qu'ils puissent être tenus responsables en cas de non-conformité. L'article 20(2) comble ensuite une lacune évidente : les membres de l'organe de direction doivent eux-mêmes suivre une formation régulière afin de disposer des connaissances et des compétences suffisantes pour identifier les risques et évaluer la pertinence des mesures qu'ils approuvent. On ne peut exercer un devoir de surveillance sur ce que l'on ne comprend pas ; la réglementation fait donc désormais de cette compréhension un préalable indispensable à la surveillance.

DORA (Règlement (UE) 2022/2554), qui s'applique à l'ensemble du secteur financier, va plus loin sur un point : l'obligation prévue à l'article 5(4) est explicitement individuelle et non collective. Chaque membre de l'organe de direction doit activement maintenir à jour ses propres connaissances en matière de risques TIC, grâce à une formation proportionnée aux risques TIC auxquels l'entité est exposée. L'article 5(2)(g) exige en outre que le conseil approuve et réexamine périodiquement le budget alloué à cette formation, faisant de la question « avons-nous financé cela correctement » un enjeu de gouvernance à part entière.

L'IA Act (Règlement (UE) 2024/1689) étend cette même logique au-delà de la cybersécurité, vers la gouvernance de l'IA. L'article 4, en vigueur depuis février 2025, impose aux fournisseurs et aux déployeurs de garantir un niveau suffisant de culture en matière d'IA parmi leur personnel et toute autre personne exploitant des systèmes d'IA pour leur compte, en fonction du rôle de chacun et du contexte d'utilisation. Pour les dirigeants qui approuvent des produits intégrant l'IA, valident des cas d'usage à haut risque ou utilisent des analyses générées par l'IA pour étayer leurs décisions, il existe une obligation de posséder un niveau de culture en IA adapté à leurs fonctions.

Pour ces trois textes, le schéma est identique : la présence est nécessaire, mais l'objectif visé est la compréhension, et cette compréhension incombe à l'individu, non à l'institution.

Pourquoi la plupart des programmes de formation n'atteignent pas le niveau requis

Voici le point délicat. Une grande partie des formations cyber destinées aux dirigeants respecte la lettre de ces obligations : une session a eu lieu, la présence a été enregistrée, un certificat a été délivré, sans pour autant faire progresser ce qui importe réellement : la capacité du dirigeant à identifier un risque et à évaluer si les mesures qui lui sont présentées sont adéquates. Être informé et être capable d'exercer son jugement sont deux choses différentes, et les régulateurs, les auditeurs et, à terme, les tribunaux évalueront cette seconde aptitude.

Ce fossé n'apparaît nulle part aussi clairement que dans la manière dont les conseils d'administration appréhendent les chiffres que leur présente le RSSI.

‍

Un chiffre ne constitue pas une compréhension

La plupart des conseils d'administration reçoivent désormais une forme de reporting quantifié sur les cyber-risques : un score de risque, un pourcentage de maturité, une estimation de l'exposition aux pertes annuelles ou la probabilité d'une violation importante. C'est un progrès : c'est bien mieux qu'une carte thermique rouge-orange-vert sans fondement défendable. Mais un chiffre, à lui seul, ne remplit ni l'obligation d'évaluation imposée par NIS2, ni l'obligation de compréhension imposée par DORA.

Si un RSSI rapporte que « l'exposition aux pertes annuelles est passée de 2 M€ à 3,5 M€ », un dirigeant exerçant une surveillance active sera en mesure de poser des questions éclairées pour comprendre :

●      D'où vient ce chiffre ? Données d'incidents internes, références sectorielles, jugement d'expert calibré par rapport à un modèle : chacun comporte un niveau de confiance différent, et un chiffre défendable doit pouvoir en préciser la source.

●      Que cache ou que révèle la fourchette qui l'entoure ? Une estimation ponctuelle unique implique une précision que le cyber-risque possède rarement. Le résultat le plus probable et les risques extrêmes (scénarios à faible probabilité mais à haute gravité) exigent des réponses différentes, comme l'atténuation par rapport à l'assurance ou aux fonds propres ; un conseil d'administration qui ne voit qu'un seul chiffre ne peut pas faire cette distinction.

●      Qu'est-ce qui a changé, et pourquoi ? Une augmentation due à une détérioration réelle du paysage des menaces appelle une réponse différente de celle causée par une meilleure collecte de données révélant un risque qui existait déjà.

●      Quelle décision ce chiffre est-il censé étayer ? Une métrique présentée sans décision associée n'est qu'une mise à jour de statut, pas de la gestion des risques.

Un dirigeant qui acquiesce devant un « 7,2 sur 10 » ou « 3,5 M€ » sans être capable de poser ces questions a suivi une formation, mais n'a pas atteint le niveau que décrivent réellement l'article 20(2) de NIS2 et l'article 5(4) de DORA. L'exigence réglementaire n'est pas que « le conseil d'administration ait été informé d'un chiffre ». C'est que « le conseil d'administration ait compris suffisamment pour le remettre en question ».

L'implication pratique

La formation aux cyber-risques pour les dirigeants et les membres des conseils d'administration doit faire plus que transmettre une sensibilisation aux menaces et à la terminologie. Elle doit renforcer la capacité spécifique et durable à interroger les rapports de risques quantitatifs : questionner la provenance, lire une fourchette plutôt qu'une estimation ponctuelle, et relier un chiffre à la décision qu'il est censé éclairer. Tout ce qui est en deçà laisse l'organisation conforme sur le papier mais exposée dans les faits, ce qui est précisément l'écart que NIS2, DORA et l'IA Act ont été écrits pour combler.

C'est précisément l'écart que C-Risk Répondre à vos obligations de surveillance dans le cadre de NIS2, DORA et de l'IA Act de l'UE est conçu pour combler ces lacunes. Plutôt que de se limiter à une simple sensibilisation aux menaces et à la terminologie, le programme développe les compétences spécifiques attendues par les régulateurs : la capacité d'analyser les rapports de risques quantifiés d'un RSSI, d'en questionner les hypothèses et la provenance, et de lier chaque chiffre aux décisions qu'il doit éclairer. Les dirigeants et les membres du conseil d'administration peuvent ainsi démontrer, et non plus seulement affirmer, le niveau de compréhension requis par l'article 20(2) de la directive NIS2, l'article 5(4) du règlement DORA et l'article 4 de l'IA Act.

L'ignorance n'a jamais été une excuse. Avec la réglementation européenne, elle constitue désormais une responsabilité juridique explicite.

‍