NIS 2 : le NCSC irlandais publie un guide de gouvernance cyber pour les conseils d'administration

Le 7 juillet 2026, l'autorité nationale de cybersécurité irlandaise (NCSC) a publié un guide destiné aux conseils d'administration et aux dirigeants des organisations relevant de la directive NIS 2. Le message est sans détour : la cybersécurité n'est plus une question purement technique, mais une responsabilité de gouvernance qui engage directement les organes de direction.

Ce qui s'est passé

Le guide publié par le NCSC s'adresse aux conseils d'administration et cadres dirigeants des entités qui seront soumises à la directive NIS 2 une fois le régime irlandais transposé. Il précise le rôle des « organes de direction » — un terme que NIS 2 n'a jamais défini juridiquement — en s'appuyant sur d'autres textes européens pour englober toute personne qui dirige effectivement l'organisation ou occupe une fonction clé de pilotage stratégique.

Le document détaille quatre responsabilités concrètes attendues des dirigeants au titre de l'article 20 de NIS 2 : approuver les mesures de gestion du risque cyber, superviser leur mise en œuvre, suivre une formation à la cybersécurité, et exercer une surveillance continue de la posture de risque de l'organisation. Le NCSC ne demande pas aux administrateurs de devenir des experts techniques, mais d'obtenir l'assurance que les risques cyber sont identifiés, gérés et intégrés à la gestion globale des risques de l'entreprise.

Le guide propose une feuille de route indicative de 24 mois pour se mettre en conformité, ainsi qu'une grille de lecture en trois volets pour structurer la discussion au niveau du conseil : l'exposition (cartographie des actifs et des vulnérabilités), la défense (efficacité des mesures de contrôle, y compris sur la chaîne de sous-traitance) et la conséquence (capacités de réponse à incident et de résilience). Le NCSC met également en avant son référentiel CyFun (Cyber Fundamentals), non contraignant mais présenté comme la grille de bonnes pratiques de référence.

Ironie du calendrier : quelques jours après la publication de ce guide, la Commission européenne a saisi la CJUE contre l'Irlande — aux côtés de la France, de l'Espagne et des Pays-Bas — pour défaut de transposition de NIS 2, comme Leto le rapportait dans son analyse de la saisine effective. Le projet de loi irlandais (National Cyber Security Bill) n'est toujours pas adopté.

Pourquoi c'est important

Ce paradoxe résume assez bien la situation de plusieurs États membres, dont la France : le texte n'est pas encore transposé, mais les autorités nationales de cybersécurité publient déjà des lignes directrices pour préparer le terrain. La date choisie n'est pas anodine non plus : le 17 juillet 2026 marquait également l'échéance de désignation des entités critiques au titre de la directive CER, un texte qui bascule automatiquement toute entité désignée dans le périmètre des entités essentielles de NIS 2.

Pour les DPO et RSSI, ce guide confirme une tendance de fond largement documentée par ailleurs : la responsabilité cyber remonte au niveau du conseil d'administration. Les agences Five Eyes appelaient récemment les dirigeants à agir sans attendre face à la montée des risques liés à l'IA offensive — un signal convergent avec celui du NCSC irlandais. Le socle réglementaire, lui, reste l'article 20 de NIS 2, qui impose formation des dirigeants et supervision active des mesures de gestion du risque, avec une possibilité explicite d'engager la responsabilité des organes de direction en cas de manquement.

Ce que ça change pour les organisations

Le guide du NCSC n'a pas force de loi et ne s'applique pas directement en France. Mais il constitue un indicateur précieux de la façon dont les autorités de supervision européennes vont, dans les faits, évaluer la gouvernance cyber une fois les régimes nationaux NIS 2 pleinement en vigueur. Trois enseignements concrets pour les organisations françaises potentiellement concernées :

D'abord, ne pas attendre la loi de résilience française pour structurer la gouvernance. Le guide souligne que les autorités de supervision concentreront leur attention initiale sur les dispositifs de gouvernance et de surveillance — pas seulement sur les mesures techniques. Ensuite, documenter la chaîne de responsabilité : qui porte le sujet cyber au niveau exécutif, quels sont les circuits de reporting et d'escalade, comment les enseignements des incidents remontent-ils au conseil. Enfin, s'appuyer sur un référentiel structurant — CyFun côté irlandais, mais les dix mesures de l'article 21 de NIS 2 offrent une base équivalente et directement transposable en France.

Ce que Leto pense de cette décision

Ce guide illustre un mouvement que nous observons sur l'ensemble des textes de résilience numérique européens : le flou juridique sur le calendrier de transposition n'empêche plus les autorités d'articuler leurs attentes de supervision. Attendre la publication du décret français avant d'agir revient à prendre du retard sur une doctrine déjà largement écrite à l'échelle européenne. Pour les conseils d'administration, le message du NCSC vaut autant en France qu'en Irlande : la cybersécurité est désormais un sujet de gouvernance à part entière, documenté et traçable, et non plus une ligne budgétaire déléguée au RSSI.

Sources : Inside Privacy (Covington & Burling), « Irish NCSC Issues Cyber Governance Guidance for Management Boards Ahead of NIS2 Implementation », NCSC Irlande, guide de gouvernance cyber pour les conseils d'administration (PDF).