Programme de gouvernance cyber de l'organe de direction : guide étape par étape

Transformer les responsabilités de l'organe de direction énoncées à l'article 20 de NIS2, à la Cbw néerlandaise et à l'article 5 de DORA en une routine : un calendrier annuel, des indicateurs, un pack de rapports, une formation de l'organe de direction et des procès-verbaux servant de preuves.

Ce guide s'adresse aux secrétaires généraux, aux CISO, aux responsables des risques et aux administrateurs qui doivent transformer les responsabilités de l'organe de direction énoncées dans NIS2 et DORA en une routine que l'organe de direction peut maintenir. À la fin, vous disposerez d'une structure de gouvernance, d'un calendrier annuel de décisions, d'un ensemble d'indicateurs, d'un modèle de rapport, d'un plan de formation et d'une piste de preuves montrant à une autorité de contrôle comment l'organe de direction a exercé son rôle.

Avant de commencer

Vous avez besoin d'un sponsor au sein de l'organe de direction (souvent le président de la commission d'audit ou de risque), d'un CISO ou d'un responsable de la sécurité qui prépare le matériel, et du secrétaire général pour gérer le calendrier et les procès-verbaux. Ayez à portée de main le registre des risques actuel, la dernière analyse d'écart par rapport à l'article 21 de NIS2 ou à vos mesures nationales, et tous les constats d'audit en suspens. Si vous n'êtes pas encore certain d'être dans le périmètre, réglez d'abord cette question.

Étape 1 : Préciser les obligations légales et qui les porte

L'article 20(1) de NIS2 exige que les organes de direction des entités essentielles et importantes approuvent les mesures de l'article 21 et supervisent leur mise en œuvre, et les rend responsables des infractions, sans préjudice des règles nationales de responsabilité pour les organismes publics et les agents publics. L'article 20(2) exige que les membres des organes de direction suivent une formation, et encourage les entités à offrir une formation similaire aux salariés régulièrement^[1]. Pour les entités essentielles, les autorités de contrôle peuvent, en dernier recours, demander une interdiction temporaire pour une personne exerçant des fonctions de direction.

La loi nationale précise les détails. Le CCB explique qu'en Belgique l'organe de direction est responsable si l'entité enfreint ses obligations de gestion des risques, et que les personnes responsables doivent avoir le pouvoir d'assurer la conformité^[3]. Aux Pays-Bas, l'article 24 de la Cbw ajoute une exigence de connaissances démontrables avec un certificat (voir Étape 7). Pour les entités financières, l'article 5(2) de DORA rend l'organe de direction responsable de la définition, de l'approbation, de la supervision et de la responsabilité de l'ensemble du référentiel de gestion du risque lié aux TIC et porte la responsabilité finale du risque lié aux TIC.^[2].

• Identifiez quel organe est l'« organe de direction » dans votre modèle de gouvernance : le conseil d'administration, le conseil des administrateurs, ou les deux dans une structure moniste.
• Énumérez les obligations selon la loi qui vous s'applique, et notez où elles diffèrent.
• Informez l'organe de direction de l'exposition personnelle en termes clairs, avec le conseil juridique présent.

Étape 2 : Définir la structure de surveillance

Décidez où la cybersécurité est discutée et décidée. La plupart des organisations conservent l'approbation formelle avec l'organe de direction complet et délèguent l'examen détaillé à une commission (audit, risque, ou une commission technologique dédiée). Quel que soit votre choix, documentez-le.

• Mettez à jour les termes de référence de la commission pour inclure la cybersécurité et, le cas échéant, le risque lié aux tiers en matière de TIC.
• Donnez au CISO un accès direct à l'organe de direction ou à la commission, au moins pour le rapport trimestriel et pour les escalades.
• Définissez les déclencheurs d'escalade entre les réunions : un incident important, un dépassement de la tolérance au risque, une demande d'une autorité de contrôle.
• Entités DORA : désignez la personne qui supervise les arrangements avec les tiers en matière de TIC, ou un cadre supérieur responsable de ce risque, comme l'exige l'article 5(3) pour les non-microentreprises.

Étape 3 : Approuver les mesures et l'appétit pour le risque

L'approbation est le premier acte visible de surveillance. Présentez à l'organe de direction les mesures de gestion des risques (ou l'analyse des écarts et le plan de remédiation), la méthodologie de risque, les critères d'acceptation et les risques résiduels qui nécessitent une acceptation. En vertu de DORA, l'organe de direction définit également la stratégie de résilience opérationnelle numérique avec la tolérance au risque lié aux TIC, et approuve la politique de continuité des activités en matière de TIC, les plans de réponse et de rétablissement, les plans d'audit interne en matière de TIC et la politique relative aux services tiers en matière de TIC.^[2].

• Demandez une décision, non une simple prise de connaissance : « approuver les mesures et le plan de remédiation », « accepter ces risques résiduels ».
• Exprimez l'appétit en termes mesurables (par exemple, temps d'arrêt maximal tolérable pour les services critiques).
• Approuvez le budget du plan, car l'article 5(2)(g) de DORA s'attend expressément à un budget alloué et révisé.

Étape 4 : Construire le calendrier annuel de cybersécurité du conseil

Un calendrier transforme les obligations en routine. Un cycle type ressemble à ceci :

Trimestre	Point du conseil ou de la commission	Décision ou résultat
Q1	Évaluation annuelle des risques et appétit pour le risque ; plan de formation pour l'année	Approuver l'appétit et les risques résiduels ; approuver le plan de formation
Q2	Réponse aux incidents et continuité : résultats des exercices ; examen du risque fournisseur	Prendre note des enseignements tirés ; approuver les modifications du plan
Q3	Audit interne et constats de l'autorité de contrôle ; révisions des politiques	Approuver la remédiation et les mises à jour des politiques
Q4	Examen de l'efficacité du programme ; budget et plan pour l'année suivante	Approuver le budget et le plan annuel
Chaque trimestre	Tableau de bord KPI/KRI standard, incidents importants, changements réglementaires	Prendre note, contester, escalader

Étape 5 : Choisir un ensemble réduit d'indicateurs clés de performance et de risque

Les conseils ont besoin de quelques indicateurs qui montrent la direction, non pas d'une multitude de métriques techniques. Utilisez les indicateurs clés de performance (KPI) pour évaluer si le programme livre les résultats, et les indicateurs clés de risque (KRI) pour évaluer si l'exposition sort de l'appétit. Fixez une cible et une tolérance pour chacun, et maintenez les définitions stables pour que les tendances aient un sens.

• KPI : éléments du plan de remédiation fermés à temps ; part du personnel ayant suivi la formation requise ; part des fournisseurs critiques évalués au cours des 12 derniers mois ; tests de restauration de sauvegarde réussis.
• KRI : vulnérabilités critiques sur les systèmes accessibles à Internet plus anciennes que la cible de correctif ; comptes privilégiés sans MFA ; incidents importants au cours de la période ; services critiques dépassant le temps d'arrêt tolérable dans les tests ; constats d'audit à haut risque en retard.
• Limitez la vue du conseil à 8 à 12 indicateurs, avec un code rouge, orange et vert par rapport aux tolérances que le conseil a fixées.

Étape 6 : Concevoir le dossier de rapport

Un dossier cohérent rend la surveillance comparable d'un trimestre à l'autre. Limitez-le à quelques pages et mettez les décisions en avant.

• Page 1 : décisions demandées et évaluation globale du CISO en trois phrases.
• Page 2 : tableau de bord KPI/KRI avec tendance et commentaire sur les éléments en rouge.
• Page 3 : principaux risques, changements depuis le dernier trimestre et risques en attente d'acceptation.
• Page 4 : incidents importants et quasi-incidents, statut de signalement au CSIRT ou à l'autorité de contrôle, et enseignements tirés.
• Annexe : statut du plan de remédiation, problèmes de fournisseurs, mises à jour réglementaires et d'audit.

Le modèle d'accompagnement comprend un plan de rapport, le calendrier annuel et un journal de formation prêt à adapter.

Étape 7 : Former le conseil et tenir le journal de formation

La formation est une obligation personnelle de chaque membre. L'objectif de NIS2 est que les membres puissent identifier les risques et évaluer les pratiques de gestion des risques et leur effet sur les services de l'entité. Aux Pays-Bas, les articles 20 et 21 du Cbb fixent le contenu (identification des risques et les mesures de gestion des risques de la loi), et l'article 22 exige un certificat indiquant le nom du membre du conseil, la ou les dates, les sujets et le prestataire, en néerlandais ou en anglais^[4]. Les membres du conseil en exercice doivent satisfaire à l'exigence avant le 15 août 2028, et les nouveaux membres dans les deux ans suivant leur nomination^[5]. L'article 5(4) de DORA s'attend à ce que les membres maintiennent leurs connaissances à jour, notamment par une formation régulière et spécifique proportionnée au risque ICT.

• Planifiez une séance d'introduction pour les nouveaux membres et un rafraîchissement annuel pour tous, adapté à votre secteur et aux incidents récents.
• Ajoutez un exercice de simulation dans lequel les membres du conseil jouent leurs rôles en cas de crise.
• Tenez un journal de formation par membre avec les dates, les sujets, le prestataire et le certificat.

Étape 8 : Consigner les décisions comme preuves

Les procès-verbaux constituent le principal document qu'une autorité de contrôle examinera pour vérifier comment l'organe de direction a exercé son rôle. Ils n'ont pas besoin d'être longs, mais ils doivent montrer ce qui a été présenté, quelles questions ont été posées, quelles décisions ont été prises et quel suivi a été convenu.

• Enregistrez le libellé exact de la décision, y compris toute condition.
• Enregistrez les questions substantielles et les contestations, brièvement.
• Tenez un registre des actions avec les responsables et les dates, et examinez-le à la réunion suivante.

Étape 9 : Examiner le programme chaque année

Une fois par an, évaluez si la surveillance fonctionne : les décisions ont-elles été prises à temps, les indicateurs ont-ils déclenché une action, tous les membres ont-ils été formés, les escalades ont-elles atteint l'organe de direction ? Demandez à l'audit interne ou à un tiers externe d'examiner le programme tous les quelques ans. Dans Secrato, les approbations de l'organe de direction, les dossiers de formation et les valeurs des indicateurs peuvent être placés à côté des contrôles auxquels ils se rapportent, de sorte que les mêmes preuves servent NIS2, la loi nationale et DORA.

Comment cela se connecte à d'autres référentiels

NIS2 Article 20 et DORA Article 5 se chevauchent largement : un calendrier et un ensemble peuvent servir les deux, DORA ajoutant des approbations pour la stratégie de résilience, la continuité, les plans d'audit et la politique tiers. La clause 5 (leadership) et la clause 9.3 (revue de direction) de l'ISO/IEC 27001 se mettent en correspondance naturellement avec les étapes 3, 4 et 9. Dans CyFun, les contrôles de gouvernance sur les rôles, les politiques et la gestion des risques sont alimentés par les mêmes décisions de l'organe de direction.

Questions fréquemment posées

L'ensemble de l'organe de direction doit-il suivre une formation, ou seulement un membre ?

L'article 20(2) vise les membres de l'organe de direction, donc chaque membre. La Cbw néerlandaise le précise avec un certificat par membre.

L'organe de direction peut-il déléguer la gouvernance au CISO ?

L'organe de direction peut déléguer la préparation et l'exécution courante, mais l'approbation et la surveillance restent des responsabilités de l'organe de direction. La délégation doit être documentée, et l'organe de direction doit recevoir des rapports réguliers.

À quelle fréquence l'organe de direction devrait-il discuter de la cybersécurité ?

Les lois ne fixent pas de fréquence. Un rapport standard trimestriel plus un approfondissement annuel est un rythme courant et défendable, avec escalade entre les réunions pour les incidents importants.

Nous sommes une entité DORA. L'article 20 de NIS2 a-t-il encore de l'importance ?

DORA est la loi sectorielle pour la gestion du risque lié aux TIC dans la finance, donc son article 5 s'applique. Les entités du groupe en dehors du périmètre de DORA peuvent néanmoins relever de NIS2.