ils demandent qui est notre CISO mais nous n'avons personne avec ce titre

Pas de CISO nécessaire, mais un point de contact pour la sécurité

Vous pouvez généralement répondre simplement « non » ici, sans que cela constitue une lacune. Aucune des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 n'impose un titre de fonction. La directive régit les obligations au niveau organisationnel — gouvernance, gestion des risques, traitement des incidents — et non la façon dont vous les répartissez en interne ou le nom de ce rôle. Un CISO (« Chief Information Security Officer ») est une façon de le faire, notamment dans les grandes organisations, mais ce n'est pas une obligation. Il en va de même pour ISO/IEC 27001 : l'Annexe A exige des responsabilités documentées en matière de sécurité de l'information, pas un titre spécifique sur le bulletin de paie.

Ce que votre client veut vraiment savoir, c'est qui en interne est responsable et joignable en cas d'incident. Dans une petite entreprise, c'est souvent le propriétaire lui-même, le responsable informatique, ou quelqu'un qui s'occupe de la sécurité en plus d'un autre rôle. Remplissez-le comme réponse à la question sous-jacente : nom, fonction, et éventuellement comment contacter cette personne. Cela s'aligne également avec qui réagit en cas d'incident de sécurité — c'est généralement la même personne ou la même équipe. Vous doutez que votre client accepte « pas de CISO, mais un responsable » ? Ne confirmez pas automatiquement cette réponse par « oui » — c'est une évaluation qui incombe au déclarant, et non à un dossier rempli automatiquement.

Où cela ressort : article 21, paragraphe 2, et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 énumère dix catégories de mesures, dont la gestion des risques, le traitement des incidents et la politique d'accès, mais pas de désignation de rôle. La loi néerlandaise sur la cybersécurité, qui transpose cette directive et entre en vigueur le 15 août 2026, suit la même approche. L'annexe A d'ISO/IEC 27001 exige, dans la section relative à l'organisation de la sécurité de l'information, des responsabilités assignées, pas un titre de fonction. Vous voulez vérifier si votre entreprise elle-même est soumise aux obligations de la directive NIS2 ? C'est une question distincte qui se pose indépendamment de celle-ci — pour cela, regardez si l'entreprise en tant qu'entité est soumise à la directive NIS2.