NIS2 et supply chain : pourquoi la cybersécurité est devenue un sujet de conseil d'administration

# NIS2 et supply chain : pourquoi la cybersécurité est devenue un sujet de conseil d'administration

---

"Trop d'entreprises considèrent encore la cybersécurité comme une affaire de techniciens, confiée exclusivement à la DSI. Le COMEX se désengage, le Conseil d'administration n'est pas sensibilisé, et les décisions restent cantonnées aux aspects techniques."

Ce constat, formulé il y a plusieurs mois, est devenu une urgence avec l'entrée en vigueur de la directive NIS2. La cyberattaque n'est plus un accident. C'est un échec de gouvernance.

Ce que NIS2 change fondamentalement

La directive (UE) 2022/2555 ne parle pas de firewalls. Elle parle de responsabilité, de supervision et de continuité. Elle impose aux entités essentielles et importantes (articles 20 à 21) :

• L'approbation des mesures de cybersécurité par les organes de direction — pas leur délégation
• Une obligation de formation des dirigeants sur les risques cyber
• La sécurisation de la chaîne d'approvisionnement numérique, en tenant compte des vulnérabilités des fournisseurs
• Des sanctions administratives pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial (article 34)
• Des responsabilités personnelles, voire pénales, en cas de manquement grave

Les grands donneurs d'ordre européens sont désormais légalement responsables de la cybersécurité de leur supply chain. Si vous êtes un fournisseur marocain et que vous ne démontrez aucune maturité en gouvernance cyber, vous risquez l'exclusion des appels d'offres. Une cyberattaque, même indirecte, peut désormais justifier la rupture immédiate et unilatérale d'un contrat commercial. Ce n'est plus une hypothèse — c'est une réalité contractuelle dans plusieurs secteurs critiques.

La gouvernance IT : ce que le CA ne voit pas

Imaginons la situation suivante. Un groupe multi-entités, infrastructure IT centralisée en local, sans redondance. Trois semaines avant la haute saison, les serveurs tombent. Pas une alerte — une extinction. Commandes, facturation, traçabilité : inaccessibles pour l'ensemble des sociétés du groupe. Pas de système, pas de livraisons validées, pas de chiffre d'affaires.

Ce scénario n'est pas hypothétique. Il se produit dans des groupes où l'arbitrage budgétaire sur la redondance IT a été traité comme une question technique, renvoyée à la direction IT et à la direction financière, chacune dans son couloir. Le coût d'une indisponibilité en pic d'activité n'était pas dans le tableur. Personne ne l'avait posé en ces termes.

Ce que ce type de dossier révèle : la négociation d'urgence avec les prestataires n'est pas la même conversation selon qui est autour de la table. Reconstituer l'historique contractuel tout en arbitrant simultanément entre la pression de rouvrir le système et le risque de signer un contrat de dépendance à trois ans sous contrainte — ce n'est pas un travail de DSI seul, ni de DAF seul. C'est un travail de direction intégrée.

Lors de la validation budgétaire, les administrateurs ont entre les mains les arbitrages qui déterminent l'exposition opérationnelle du groupe. Un budget IT présenté en termes de coûts d'infrastructure ne dit pas la même chose qu'un budget présenté en termes de risque de continuité d'activité. La différence entre les deux, c'est la question que personne n'a posée en séance.

Un conseil d'administration qui valide un budget sans challenger l'hypothèse de continuité ne fait pas de la gouvernance. Il fait de l'approbation.

La responsabilité personnelle des dirigeants marocains

En droit marocain, le cadre est désormais clair :

• Loi 05-20 : obligation de sécurisation des SI et contrôle ANC
• Loi 09-08 : responsabilité personnelle en cas de manquement grave à la protection des données
• Décret Cloud 2024 : hébergement souverain obligatoire pour les données sensibles
• Loi 17-95 : responsabilité pour faute de gestion par omission de surveillance

La délégation n'efface pas la responsabilité du dirigeant. Ce qui sera examiné en cas de crise : le Conseil a-t-il supervisé les risques cyber ? Les décisions sont-elles formalisées en procès-verbaux ? Les moyens étaient-ils adaptés à l'exposition réelle ? La conformité DNSSI et CNDP est-elle démontrable ?

Quatre piliers de réponse

Inscrire le risque cyber à l'ordre du jour du Conseil d'administration — pas annuellement, mais trimestriellement avec des indicateurs d'exposition réels.

Créer un comité des risques dédié ou étendre le comité d'audit pour inclure la dimension cyber, avec des compétences adaptées.

Mettre en place un reporting stratégique : exposition, incidents, conformité, résilience — soumis au CA, pas seulement au management.

Cartographier les tiers critiques et intégrer des clauses cyber dans les contrats fournisseurs — la supply chain numérique est votre surface d'exposition la plus négligée.

À ces quatre piliers s'ajoute la désignation d'un responsable exécutif de la gestion des risques cyber, indépendant de la DSI, et l'adoption d'un référentiel aligné sur ISO/IEC 27001, NIS2 et DORA pour les entités financières.

La meilleure défense d'un dirigeant n'est pas un expert. C'est une gouvernance active et démontrable.

---

Cet article est la version développée et enrichie de quatre publications LinkedIn originales.

Publications LinkedIn sources :

• Trop d'entreprises considèrent encore la cybersécurité comme une affaire de techniciens — Janvier 2026
• NIS2 — la directive qui transforme la cybersécurité en obligation juridique de gouvernance — Février 2026
• Dirigeants marocains : votre responsabilité Cyber & ESG est engagée — Janvier 2026
• Un groupe multi-entités, infrastructure IT centralisée — quand les serveurs tombent — Mai 2026

Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.