le questionnaire demande qui au sein de la direction est responsable de la cybersécurité

La direction assume la responsabilité, pas le département informatique

À cette question, le client veut savoir si la direction elle-même porte la responsabilité finale pour la cybersécurité, ou si celle-ci a été déléguée à un responsable informatique ou un CISO sans implication de la direction. La réponse que la plupart des entreprises donnent : un dirigeant est désigné comme responsable final, et l'exécution incombe à un agent ou un département qui en dépend. Ces deux éléments ne sont pas identiques et le questionnaire veut souvent les voir tous les deux : qui est responsable (niveau direction) et qui exécute (niveau opérationnel).

La preuve concrète en est généralement une décision de la direction, une description de fonction du CISO ou de l'agent de sécurité, ou un passage de la politique de sécurité informatique qui énonce la répartition des rôles. À défaut de ce document, « non » ou « à déterminer » est la réponse honnête — non pas parce que personne n'est responsable, mais parce que l'attribution n'a pas été formalisée. Cette question est souvent liée à la question de savoir si il existe une politique pour l'analyse des risques et la protection des systèmes d'information, car cette politique mentionne généralement aussi qui l'a approuvée et qui en assure la maintenance.

Où cela figure dans la directive : article 21, paragraphe 2

L'obligation découle de l'article 21, paragraphe 2 de la directive NIS2 (Directive (UE) 2022/2555), qui énumère dix mesures qui relèvent de la responsabilité de la direction, notamment la gouvernance et la gestion des risques. La directive elle-même traite séparément de la responsabilité de la direction : celle-ci doit surveiller l'exécution et peut être tenue responsable, même si l'exécution quotidienne incombe à un CISO. Aux Pays-Bas, cette obligation se retrouve dans la Loi sur la cybersécurité, qui entrera en vigueur le 15 août 2026. La norme ISO/IEC 27001, Annexe A, demande également dans les mesures de contrôle relatives à la structure organisationnelle une répartition des rôles formalisée — les organisations qui possèdent déjà ce certificat peuvent généralement réutiliser directement cette documentation pour cette question. Si l'entreprise est certifiée ISO 27001, la responsabilité au niveau de la direction y est généralement déjà mentionnée dans le champ d'application ou le document de politique.