le client veut savoir qui est responsable de la cybersécurité dans notre entreprise

Gouvernance, pas un nom

La question « qui est responsable de la sécurité de l'information » ne demande en pratique pas un nom ou un titre de fonction, mais une preuve de gouvernance : y a-t-il une responsabilité désignée, et est-elle garantie au niveau de la direction ? L'article 21, paragraphe 2, de NIS2 ne mentionne pas cela isolément, mais comme partie de la politique d'analyse des risques et de sécurité des systèmes d'information — la première des dix mesures. Celui qui reçoit cette question peut généralement mieux se référer au même document de politique qui énonce également si l'entreprise a une politique d'analyse des risques et de sécurité des systèmes d'information: le propriétaire de la politique y est généralement mentionné, ainsi que la portée et la date de la dernière révision.

Si l'entreprise n'a pas de responsable explicitement désigné, une réponse comme « la direction » ou « le propriétaire » est souvent suffisante pour les petites entreprises — mais c'est une constatation factuelle, pas quelque chose que cette plateforme propose. Ce que le système peut faire : extraire la réponse du dossier de chaîne s'il y est déjà, avec la source, afin que le client la confirme par oui ou non. Si cet enregistrement fait défaut, la réponse la plus honnête est qu'il n'y a pas encore de responsable formellement désigné, plutôt que d'inventer un nom qui ne figure pas dans le dossier. Cette question est souvent liée à d'autres : celui qui signale un incident, par exemple dans la procédure de traitement des incidents de cybersécurité, et cela peut être la même personne ou quelqu'un d'autre.

D'où cela découle de l'article 21, paragraphe 2

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 impose aux entités une approche fondée sur les risques avec dix mesures concrètes, dont la politique d'analyse des risques et de sécurité des systèmes d'information en est la première ; qui en est responsable fait partie de cette politique, ce n'est pas une donnée isolée. Dans l'ISO/IEC 27001, cela se retrouve dans l'Annexe A, sous les mesures de contrôle pour l'organisation de la sécurité de l'information. La loi sur la cybersécurité met cette obligation en œuvre dans la législation néerlandaise et devrait entrer en vigueur le 15 août 2026 ; jusqu'à cette date, NIS2 elle-même est le texte de référence.