le questionnaire demande qui au sein de notre entreprise est responsable de la cybersécurité

Gouvernance et responsabilité, pas seulement un nom

La question va au-delà de simplement renseigner une personne de contact. L'article 21, paragraphe 2 de la directive NIS2 mentionne « une politique relative à l'analyse des risques et à la sécurité des systèmes d'information » comme l'une des dix mesures obligatoires, et la gouvernance — qui décide, qui approuve, qui porte la responsabilité — en fait partie. Dans ISO/IEC 27001, cela se retrouve à l'Annexe A, parmi les mesures de maîtrise relatives à l'organisation de la sécurité de l'information : on s'attend à ce que les rôles et responsabilités soient attribués et documentés, et non seulement convenus verbalement. Mentionner un nom sans rôle documenté est donc généralement un remplissage incomplet.

Ce que le client veut exactement voir varie selon le format : parfois c'est un titre de fonction (CISO, responsable IT, directeur), parfois un tableau de type RACI, parfois seulement la question de savoir s'il y a une personne désignée. Si l'entreprise n'a pas de responsable formellement désigné mais que la tâche incombe de facto à quelqu'un, c'est souvent suffisant pour un « oui » — à condition que ce soit documenté quelque part, par exemple dans une description de poste ou dans des procès-verbaux. Sans aucune documentation, « non » est la réponse honnête ; le dossier de chaîne ne peut pas résoudre cela en inventer une affirmation. Cette question est souvent liée à politique d'analyse des risques et de sécurité des systèmes d'information, car un client qui pose des questions de gouvernance veut généralement aussi savoir qui a établi cette politique.

Où cela figure dans la directive et la norme

La référence à la gouvernance et aux responsabilités figure à l'article 21, paragraphe 2, point a, de la directive NIS2 (politique relative à l'analyse des risques et à la sécurité de l'information) et à l'Annexe A d'ISO/IEC 27001, parmi les mesures de maîtrise organisationnelles. Aux Pays-Bas, la même obligation se retrouve via la Loi sur la cybersécurité, qui entre en vigueur le 15 août 2026 en tant que transposition de NIS2. Les autorités de surveillance et les clients qui posent cette question évaluent implicitement aussi s'il existe un processus derrière — c'est pourquoi cette question va souvent de pair avec la question de savoir si l'efficacité des mesures est évaluée périodiquement, car un responsable sans moment d'évaluation vaut peu sur le papier.