Ce que la directive NIS2 attend de l’organe de direction
Repères cités à titre d’information. ROOMCA® forme vos dirigeants ; ROOMCA ne rend pas d’avis juridique et ne réalise pas d’audit de conformité.
NIS2 transforme la cybersécurité : d’un dossier technique délégué, elle devient une obligation de l’organe de direction. Approuver les mesures de gestion du risque, c’est une chose. Comprendre ce que l’on approuve, c’en est une autre, et c’est désormais exigé.
Conseil d’administration, 18 h 40, point cyber en fin d’ordre du jour. Trois risques, un budget, aucune question : « trop technique ». Ce silence est devenu une position juridique. Approuver sans avoir compris, c’est engager sa responsabilité sur un dossier qu’on n’a pas lu.
Cinq questions par texte suffisent à piloter. Un inventaire vivant des usages d’intelligence artificielle vous protège mieux qu’une note de quarante pages que personne ne relira.
Arrêter ou non la production, notifier ou non les autorités, parler ou non à la presse. Aucune de ces décisions n’est technique. Aucune ne se délègue.
La rançon est rarement le premier poste. L’arrêt d’activité, la reconstruction, les clients qui partent par prudence : c’est cela qu’il faut avoir chiffré avant d’en avoir besoin.
Le premier se fait seul, entre deux réunions. Le second réunit tout le comité dans la même pièce, autour de la même crise.
Rien à configurer, rien à retenir par cœur. On y lit court, on y voit un cas réel, on y répond à une question. Puis on joue deux situations où c’est vous qui décidez, sans filet.
L’attaque tombe pendant la réunion. Un dirigeant désigné tranche, le reste de la salle le conseille, et chaque décision se paie en euros et en réputation devant tout le monde. C’est votre équipe qui anime, en salle ou en visio.
Un extrait de l’atelier. La salle a donné son avis, personne ne tranche à votre place : choisissez.
Le chiffrement se propage depuis le serveur de fichiers. Votre chaîne de production est encore debout, reliée au même réseau.
Le bon choix coûte aussi. Il coûte moins. Montants théoriques, à visée pédagogique.
Ton de comité, aucun prérequis technique : ils se lisent entre deux réunions, et chaque notion se referme sur une décision à prendre.
Ce que NIS2, l’IA Act et le Data Act attendent de vous, les questions qui protègent, et la place à donner à votre responsable sécurité.
Ce ne sont pas des questionnaires déguisés. Vous écrivez, vous répondez, vous tranchez, et la situation continue avec ce que vous avez fait.
Votre visage et votre voix, clonés depuis vos interventions publiques, donnent des ordres de virement à vos équipes. Vous découvrez l’affaire par la comptable, qui a déjà payé.
Sept heures du matin, le chiffrement se propage. Vous n’êtes pas au clavier : vous êtes celui vers qui tout le monde se tourne.
Chaque attaque jouée porte une règle de gouvernance. À la fin de la séance, ces règles deviennent une liste, projetée et envoyée sur le téléphone de chaque participant : celles que la salle a validées, et celles qui restent à instaurer chez vous.
Le classement individuel, lui, reste replié. On n’expose pas un dirigeant devant son comité.
Les organes de direction approuvent les mesures de gestion du risque et suivent une formation qui leur permet d’en juger. Le manquement est contrôlable et la responsabilité peut être personnelle.
Encadre les usages d’intelligence artificielle par niveau de risque. Votre rôle : l’inventaire vivant des usages et la validation de ceux qui touchent aux personnes.
Organise l’accès et le partage des données. Il touche les contrats d’hébergement et la réversibilité que vous négociez au niveau du comité.
Aux dirigeants, aux membres d’un comité de direction ou d’un comité exécutif, aux administrateurs, et aux cadres qui arbitrent. Il ne s’adresse pas aux experts : vos équipes et votre responsable sécurité suivent le reste de Roomy Academy. Deux niveaux, deux formations complémentaires.
Les trois cours comptent quatorze notions, dont trois mises en situation. Une notion, c’est une lecture courte, un cas vécu et une question : elle tient entre deux réunions. Beaucoup de comités les répartissent sur les semaines qui précèdent un point cyber à l’ordre du jour.
Non, et c’est le principe même du parcours. On n’y apprend pas à configurer quoi que ce soit. On y apprend ce qu’une décision déclenche, ce qu’elle coûte, et ce qu’il faut avoir écrit avant d’en avoir besoin.
ROOMCA enregistre qui a suivi quelle notion et quand, et l’administrateur retrouve ce suivi dans son espace. C’est la trace que vous présentez. En revanche, nous ne rendons pas d’avis juridique sur la conformité de votre organisation : ce jugement appartient à votre conseil et à l’autorité de contrôle.
Le format est construit pour éviter cela. Il n’y a pas de chronomètre, le débat reste ouvert aussi longtemps qu’il le faut, et le classement individuel reste replié en fin de séance. Ce qui est projeté, c’est l’état de l’entreprise et le plan d’action, pas le score de quelqu’un.
Depuis Roomy Academy, nominativement ou par groupe. Vous assignez les trois cours au comité de direction et vous suivez l’avancement, sans passer par une campagne de masse destinée à l’ensemble des collaborateurs.
Vingt minutes suffisent pour vous montrer le parcours, les deux mises en situation, et une séance de cellule de crise telle que vous l’animerez.