Ce que la loi du 5 mai 2026 exige des dirigeants

Trois devoirs posés par l’article 13

Selon l’article 13, paragraphe 1er, les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques prises en vertu de l’article 12, supervisent leur mise en œuvre et peuvent être tenus responsables des violations de cet article par l’entité. Le paragraphe 2 ajoute une obligation de formation régulière.

Concrètement, selon la forme de la société, sont concernés le conseil d’administration et l’administrateur délégué d’une société anonyme, les gérants d’une SARL, ou le directoire et le conseil de surveillance lorsqu’ils existent. Dans une administration publique, c’est la direction de l’entité.

Approuver et superviser

Approuver ne se résume pas à prendre acte. La direction doit pouvoir montrer qu’elle a examiné les mesures, compris les risques résiduels et alloué des moyens. Le support naturel est le procès-verbal d’une réunion du conseil ou de la gérance.

Superviser implique un suivi dans la durée. Un tableau de bord trimestriel présenté par le responsable de la sécurité suffit souvent : état d’avancement, incidents, écarts d’audit, décisions à prendre. L’essentiel est que chaque présentation laisse une trace écrite.

Pour les entités essentielles, ces pièces auront une utilité immédiate : la notification annuelle des mesures à l’ILR suppose que la direction ait validé ce qu’elle transmet.

La formation des membres de la direction

Les membres des organes de direction sont tenus de suivre régulièrement une formation (art. 13, par. 2). Les entités proposent en outre, à intervalles réguliers, une formation comparable à leur personnel. La loi ne fixe ni contenu minimal, ni durée, ni format d’attestation.

Un programme utile pour des administrateurs tient en une demi-journée : menaces réelles du secteur, obligations de la loi, lecture d’un tableau de bord, rôle de la direction en cas de crise, y compris la décision de notifier un incident à l’ILR dans les 24 heures. Le renouvellement annuel est une bonne pratique, même si la loi ne fixe pas de rythme.

Responsabilité personnelle dans les entités essentielles

L’article 22, paragraphe 6, précise que toute personne physique responsable d’une entité essentielle ou agissant en qualité de représentant légal a le pouvoir de veiller au respect de la loi. Elle peut être tenue personnellement responsable d’un manquement à ce devoir. Pour les entités de l’administration publique, cette règle s’applique sans préjudice des dispositions nationales sur la responsabilité des agents publics.

L’article 22, paragraphe 5, prévoit une mesure plus lourde. Si les mesures d’exécution ordinaires restent sans effet, l’autorité peut fixer un délai. Faute de mise en conformité, elle peut demander au président du tribunal d’arrondissement de Luxembourg, siégeant comme en matière de référé, d’interdire temporairement à un dirigeant, au niveau de directeur général ou de représentant légal, d’exercer des fonctions de direction. La même procédure permet de suspendre temporairement une certification ou une autorisation. Ces mesures ne s’appliquent pas à l’administration publique.

Déléguer sans se décharger

Les dirigeants peuvent confier l’exécution à un responsable de la sécurité de l’information, salarié ou prestataire externe. L’approbation et la supervision restent en revanche les leurs. Pour que la délégation fonctionne, le responsable a besoin d’une lettre de mission, d’un budget et d’un accès direct au conseil ou à la gérance. Sans ces trois éléments, l’information remonte mal et la direction ne peut pas exercer sa supervision.

Les quatre questions du domaine « Responsabilité des dirigeants » du NIS2-Scoring couvrent ces points.