#Formation NIS2 des dirigeants : ce qui est obligatoire, pour qui, et où la trouver

C'est une des rares obligations de NIS2 qui vise nommément les dirigeants, et pas les équipes techniques. Elle tient en une phrase de la directive, et elle est mal connue : les membres des organes de direction des entités essentielles et importantes doivent suivre une formation à la cybersécurité.

La question qui suit est toujours la même : formation à quoi, de quelle durée, délivrée par qui, et sanctionnée comment ? La directive est brève sur ces points, la loi française n'est toujours pas votée, et le marché s'est rempli d'offres qui promettent une « conformité NIS2 » que personne n'est aujourd'hui en mesure de certifier.

Cet article fait le tri : le texte exact, l'état réel du droit français en septembre 2026, ce qu'un parcours de formation doit contenir pour être défendable, et ce qu'il faut éviter d'acheter.

#Ce que dit exactement la directive

L'obligation figure à l'article 20 de la directive (UE) 2022/2555, intitulé « Gouvernance ». Il pose deux exigences distinctes qu'il faut lire ensemble.

Première exigence (article 20, paragraphe 1). Les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques en matière de cybersécurité prévues à l'article 21, superviser leur mise en œuvre, et peuvent être tenus responsables en cas de manquement. La sécurité cesse d'être un sujet délégable en bloc à la DSI : elle devient un point d'ordre du jour que la direction valide et suit.

Seconde exigence (article 20, paragraphe 2). Les États membres veillent à ce que les membres des organes de direction soient tenus de suivre une formation, et encouragent les entités à offrir régulièrement une formation similaire à leurs employés.

La différence de verbe est le cœur du sujet, et elle est systématiquement mal citée :

• Pour les dirigeants : formation obligatoire.
• Pour les salariés : formation encouragée, pas imposée par ce paragraphe.

L'objectif assigné à la formation des dirigeants est précisé dans le texte : acquérir des connaissances et des compétences suffisantes pour identifier les risques, évaluer les pratiques de gestion des risques et apprécier leur incidence sur les services fournis par l'entité. Ce n'est donc pas une formation technique. C'est une formation à la décision : savoir lire un niveau de risque, arbitrer un budget de remédiation, comprendre ce qu'on approuve quand on approuve une politique de sécurité.

Cette nuance a une conséquence pratique immédiate. Une formation qui apprend à un dirigeant à reconnaître un e-mail de hameçonnage est utile, mais elle ne répond pas à l'article 20 : elle traite le dirigeant comme un utilisateur, pas comme un organe de direction.

#Qui est concerné, précisément

Deux niveaux de réponse : l'entité, puis les personnes.

#L'entité

NIS2 distingue les entités essentielles et les entités importantes, selon le secteur d'activité et la taille. Les deux catégories sont soumises aux mêmes obligations de gestion des risques et de gouvernance ; ce qui change, c'est le régime de supervision (contrôle a priori pour les essentielles, a posteriori pour les importantes) et le plafond des sanctions.

En France, environ 15 000 entités devraient être concernées, contre quelques centaines sous NIS1. La bascule est massive : beaucoup d'ETI et de PME de la sous-traitance industrielle, de la santé, du numérique ou de la logistique entrent dans le périmètre sans l'avoir anticipé.

Le détail des seuils et des secteurs est traité dans notre article entité essentielle ou entité importante : le périmètre français.

#Les personnes

« Organe de direction » ne désigne pas l'ensemble de l'encadrement. Selon la forme sociale, la formation vise les personnes qui disposent d'un pouvoir de direction effectif et qui approuvent les mesures : président et directeur général, membres du conseil d'administration ou du directoire, gérants, membres du comité de direction lorsqu'il exerce ce pouvoir.

En pratique, dans une PME ou une ETI, cela représente entre deux et une dizaine de personnes. Ce n'est pas un plan de formation d'entreprise, c'est un parcours court pour un petit nombre de décideurs.

Le RSSI, le DSI et les équipes techniques ne sont pas visés par cette obligation précise : ils relèvent des mesures techniques de l'article 21 et de leurs propres besoins de compétence.

#L'état réel du droit français en septembre 2026

C'est le point que la plupart des offres commerciales passent sous silence, et il change la façon d'aborder le sujet.

La directive devait être transposée en droit national au plus tard le 17 octobre 2024. En France, le véhicule de transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Son parcours est bloqué : présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat en première lecture en mars 2025, voté en commission spéciale à l'Assemblée nationale en septembre 2025, il n'a jamais été inscrit en séance publique depuis. Il n'a pas figuré au programme de la session extraordinaire de juillet 2026, et son examen est attendu à la rentrée de septembre 2026.

Le 9 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition.

Conséquence directe : au 7 septembre 2026, aucune obligation de formation issue de NIS2 n'est opposable en droit français. Il n'existe ni décret d'application, ni format imposé, ni durée minimale, ni organisme habilité par l'État pour délivrer une quelconque « certification NIS2 » aux dirigeants.

Toute offre qui vend aujourd'hui une « attestation de conformité NIS2 » pour dirigeants vend un document sans valeur juridique. Il faut le savoir avant de signer.

Cela ne veut pas dire qu'il faut attendre, pour trois raisons.

1. Le calendrier est court une fois la loi votée. Les entités concernées devront s'enregistrer et se mettre en conformité sur des délais qui se comptent en mois, pas en années. Une gouvernance qui découvre le sujet le jour de la publication du décret aura du retard.
2. La demande vient déjà des clients. Les questionnaires de sécurité des grands donneurs d'ordre posent la question de la formation des dirigeants depuis 2025. L'exigence contractuelle arrive avant l'exigence légale, et c'est elle qui coûte des marchés.
3. L'ANSSI a déjà publié sa boussole. Le 17 mars 2026, l'agence a publié le Référentiel Cyber France (ReCyF), qui traduit les exigences NIS2 en objectifs de sécurité concrets : 20 pour les entités essentielles, 15 pour les entités importantes. Ce n'est pas un texte opposable, mais c'est le meilleur indicateur disponible de ce que l'administration attendra. Nous l'avons détaillé dans notre mode d'emploi du ReCyF.

#Ce que doit contenir un parcours défendable

En l'absence de format imposé, le bon critère n'est pas « qu'est-ce qui est certifié » mais « qu'est-ce que je pourrai montrer à un auditeur, un assureur ou un client dans dix-huit mois ». Un parcours qui tient la route couvre cinq blocs.

1. Le cadre réglementaire appliqué à votre entité. Pas un cours général sur NIS2, mais la réponse à : sommes-nous entité essentielle ou importante, sur quel fondement, quelles obligations en découlent, et quel est notre calendrier. Sans cette étape, le reste est hors sol.

2. La lecture d'un risque. Comprendre une analyse de risques, ce qu'est un niveau résiduel, comment il se compare à un appétit au risque décidé par la direction. C'est la compétence centrale visée par l'article 20 : arbitrer, pas exécuter.

3. Les mesures de l'article 21 et ce qu'elles engagent. Les grandes familles de mesures (gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, sauvegardes) et ce que leur approbation implique en budget et en responsabilité.

4. La gestion de crise, en situation. Un exercice court sur un scénario réaliste : rançongiciel, indisponibilité prolongée, fuite de données. Qui décide de quoi, qui parle aux autorités, dans quels délais de notification, et qu'est-ce qui est décidé à l'avance plutôt que dans la panique. C'est le bloc qui produit le plus de valeur immédiate et celui qui est le plus souvent absent des offres en ligne.

5. La supervision dans la durée. Quel indicateur la direction regarde, à quelle fréquence, dans quelle instance, et comment la décision est tracée. L'article 20 parle de supervision, pas d'approbation unique.

Sur le format, quelques repères de bon sens : une demi-journée à une journée pour un premier parcours de direction, une piqûre de rappel annuelle, et surtout des preuves : feuille d'émargement, support daté, compte rendu de l'instance qui a approuvé les mesures. En audit, c'est la trace qui compte, pas le certificat.

#La formation des salariés : encouragée, mais pas facultative en pratique

Le paragraphe 2 de l'article 20 « encourage » la formation des employés, sans l'imposer. Beaucoup en concluent qu'elle est optionnelle. C'est une lecture risquée pour deux raisons.

D'abord, l'article 21 impose parmi les mesures de gestion des risques des « pratiques d'hygiène informatique de base et formation à la cybersécurité ». Ce qui n'est pas obligatoire au titre de la gouvernance revient donc par la porte des mesures techniques et organisationnelles.

Ensuite, sur le plan factuel, l'écrasante majorité des compromissions initiales passent par un utilisateur : hameçonnage, réutilisation de mot de passe, pièce jointe piégée. Une direction formée qui pilote une organisation non sensibilisée traite le symptôme réglementaire et pas le risque.

Le dimensionnement raisonnable pour une PME : un module court pour tous les collaborateurs, une session renforcée pour les fonctions exposées (comptabilité, achats, RH, direction, support), et des campagnes de test régulières dont les résultats remontent à la direction. C'est le périmètre de notre offre de sensibilisation des collaborateurs.

#Où trouver cette formation, et à quoi faire attention

Trois voies existent aujourd'hui, avec leurs limites.

Les ressources publiques gratuites. L'ANSSI et le dispositif national d'assistance aux victimes de cybermalveillance publient des kits de sensibilisation et des contenus en ligne librement accessibles. C'est utile, gratuit, et suffisant pour une première acculturation des équipes. Ce n'est pas taillé pour un organe de direction qui doit arbitrer sur son propre périmètre.

Les catalogues en ligne généralistes. Modules courts, souvent bien produits, parfois assortis d'une attestation. Ils traitent le cadre général mais ne peuvent pas répondre à la question qui compte pour un dirigeant : qu'est-ce que ça change pour notre entité. À réserver au socle de sensibilisation collective.

L'accompagnement adossé à un diagnostic. La formation se construit sur l'analyse du périmètre réel de l'entité : statut, écarts, mesures à approuver. C'est la seule voie qui produit à la fois la compétence et les preuves attendues en audit, parce que le support de formation devient le compte rendu de gouvernance.

Deux points de vigilance à l'achat.

• Financement. Si vous voulez mobiliser un financement par votre OPCO, le parcours doit être porté par un organisme certifié Qualiopi. Chez M-KIS, la conception et l'animation sont assurées en interne ; lorsqu'un financement est recherché, le parcours est porté par un organisme partenaire certifié. Posez la question avant de signer, la réponse change le budget.
• Promesses de conformité. Aucun prestataire ne peut aujourd'hui vous rendre « conforme NIS2 » ni délivrer une certification reconnue par l'État sur ce point. Ce qu'un prestataire sérieux peut faire : établir votre statut, cartographier vos écarts, former votre direction et vous laisser des preuves datées. Le reste est du marketing.

#Par où commencer, concrètement

Un ordre qui fonctionne, du moins coûteux au plus engageant.

1. Établir le statut de l'entité. Essentielle, importante, ou hors périmètre. Cette réponse conditionne tout le reste et se traite en quelques jours. C'est l'objet de notre diagnostic NIS2.
2. Cartographier les écarts au regard des objectifs du ReCyF, qui donne aujourd'hui la meilleure approximation des attentes de l'administration.
3. Former l'organe de direction sur ce périmètre réel, en incluant un exercice de crise, et tracer l'approbation des mesures dans un compte rendu daté.
4. Déployer la sensibilisation des collaborateurs, avec des campagnes de test et un indicateur suivi en direction.
5. Inscrire le sujet à l'ordre du jour d'une instance récurrente. La supervision demandée par l'article 20 est un rythme, pas un événement.

Les entités qui auront fait les étapes 1 et 2 avant la publication du décret partiront avec plusieurs mois d'avance sur celles qui les découvriront après.

#Pour aller plus loin

• ReCyF, le Référentiel Cyber France de l'ANSSI : mode d'emploi
• NIS2 : entité essentielle ou importante, le périmètre français
• NIS2 pour les PME et ESN : obligations et solutions
• Diagnostic NIS2 et accompagnement NIS2
• Sensibilisation des collaborateurs

Pour faire le point sur votre statut et le parcours à prévoir pour votre direction, l'Équipe M-KIS propose un échange de 30 minutes sans engagement.