Le piège classique
L'article 20 fait basculer la cybersécurité du couloir IT vers la salle du conseil. Le piège : croire que la conformité NIS 2 est une affaire de RSSI ou de prestataire infogerance. Or le texte rend l'organe de direction personnellement responsable de l'approbation et de la supervision des mesures de l'article 21. L'ILR, lors d'une inspection, ne se contente pas de vérifier que des mesures existent : elle demande la preuve formelle que le conseil ou le comité de direction les a approuvées, suivies et que ses membres ont été formes. Une politique de sécurité signée par le seul directeur technique ne suffit pas et exposé les dirigeants a des mesures incluant, pour les entités essentielles, une suspension temporaire de fonctions dirigeantes.
Ce que l'ILR attend concrètement de votre gouvernance
- Un procès-verbal de conseil ou de comité de direction approuvant explicitement les mesures de gestion des risques de l'article 21, date et nominatif.
- La preuve d'une supervision continue : revue périodique des risques inscrite a l'ordre du jour, indicateurs de sécurité remontes au niveau direction.
- Des attestations de formation cybersécurité des dirigeants eux-mêmes, pas seulement des équipes techniques.
- Un programme de sensibilisation régulier du personnel, documente et trace.
- Une cartographie claire des responsabilités : qui approuve, qui supervise, qui peut être tenu responsable.
- L'articulation avec le droit luxembourgeois de la responsabilité des dirigeants et, pour le secteur public, des agents et responsables nommes ou elus.
L'erreur récurrente est l'absence de traçabilité : les mesures sont prises, mais rien ne prouve que le conseil les a vues, comprises et validées. En cas de contrôle, l'absence de preuve equivaut a l'absence de gouvernance.
Comment Luxgap automatise ce risque
Notre Luxgap Board Accountability Tracker rend impossible le trou de gouvernance qui fait tomber les dirigeants : il transforme les décisions eparpillées du conseil en une chaîne de preuve continue et opposable a l'ILR. L'outil se connecte a vos espaces de gouvernance (M365 SharePoint, Teams, agendas Outlook, signatures Docusign) pour reconstituer automatiquement qui a approuve quoi, quand, et avec quel niveau d'information, sans demander au secretaire du conseil de tenir un registre manuel.
- Détecte automatiquement chaque deliberation liée a l'article 21 dans vos procès-verbaux et ordres du jour, et alerte si aucune approbation formelle n'a eu lieu sur le dernier trimestre.
- Génère un PV type d'approbation des mesures de gestion des risques, prérempli avec la liste des dix domaines de l'article 21, prest a faire signer en conseil.
- Suit le statut de formation cybersécurité de chaque membre de l'organe de direction et relance automatiquement avant expiration via Teams ou Outlook.
- Calcule un score de maturité de gouvernance NIS 2 base sur la fréquence des revues, la couverture de formation et la traçabilité des approbations.
- Produit un rapport PDF horodate et cryptographiquement scelle, démontrant a l'ILR que l'organe de direction a approuve, supervise et été forme, opposable lors d'une inspection.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre gouvernance réelle, avec un audit blanc gratuit sous 48h pour mesurer l'exposition personnelle de vos dirigeants avant tout engagement.
Le service Luxgap sur ce sujet
Sensibilisation et e-learning
Sessions pour la direction et les équipes, sur place ou à distance, e-learning, exercices de phishing, exercice de crise : six formats adaptés à votre métier et à votre maturité.
Voir les six formats→
