La Directive NIS2 ne traite pas directement des questions de responsabilité juridique.
A l'instar du RGPD, dont elle se rapproche par sa structure, elle a plutôt pour objectif d'élever le niveau moyen de cybersécurité pour les entreprises de l'Union Européenne, afin de lutter contre les ruptures de services pouvant perturber le bon fonctionnement de la Nation.
A cet effet, la Directive crée une obligation de générale de cybersécurité tendant à imposer aux organisations les plus sensibles et les plus importantes en termes d'activité - dites entités essentielles et importantes - des mesures techniques, organisationnelles et fonctionnels appropriées en vue d'assurer un niveau de sécurité moyen.
La Directive crée ainsi un bras armé associé à la Directive, chargé d'informer, de sensibiliser, de contrôler et de sanctionner en cas de défaut de conformité, les organisations non conformes.
En France, selon toute vraisemblance, cette institution chargée de réguler, sera l'Agence Nationale de la Sécurité des Systèmes d'Informations, dite ANSSI.
Mais la Directive, quand elle sera transposée en droit français, ce qui pourrait se faire dans le courant de l'année 2026, pourrait générer des actions en responsabilité au titre des ruptures de services, des cyberattaques notamment, subies par les victimes de ces évènements, ce qui est une situation plutôt rare aujourd'hui.
En effet, cette nouvelle réglementation va apporter au régulateur la possibilité de mener des inspections très poussées au sein des organisations mêmes, notamment celles qui auraient subi une cyberattaque, pouvant donner lieu ensuite à des sanctions publiques. De la sorte que, pour les victimes de ces actes, aux vues de contrôles qu'ils ne peuvent pas opérer aujourd'hui, et des éventuelles sanctions prononcées par l'autorité de sanction, sans doute possiblement l'ANSSI, ceux-ci pourraient être nourries d'informations, de preuves auxquels ils n'avaient jusque là pas accès et dont ils pourraient se prévaloir dans une action en responsabilité demain devant un Tribunal de l'ordre judiciaire ou administratif.
Une évolution à surveiller qui pourrait pousser les organisations à, de plus fort, faire toutes diligences pour se rendre conforme à ce nouveau texte et aux mesures prescrites par l'ANSSI.
Inscription au webinar ici.
