5.3 Responsabilités : salarié, employeur, DPO, RSSI, fournisseurs

L'employeur est le responsable juridique de la sécurité de l'information dans son entreprise. Trois fondements, à ne pas confondre :

• Article 32 du RGPD — le texte central, et le seul directement applicable aujourd'hui : « mesures techniques et organisationnelles appropriées » au risque, incluant le chiffrement, la capacité de rétablir la disponibilité des données et le test régulier de l'efficacité des mesures.
• Article 21 de la directive NIS2 pour les entités essentielles et importantes — rappel du chapitre 1.1 : ces obligations ne sont pas encore opposables en France, faute de loi de transposition promulguée.
• Responsabilité civile (article 1240 du Code civil pour le dommage causé à un tiers, responsabilité contractuelle envers clients et partenaires).

D'où la question réellement décisive en cas de contrôle ou de contentieux : celle de la preuve. Ce qu'une organisation doit pouvoir présenter :

• une analyse de risque (méthode EBIOS Risk Manager de l'ANSSI, ou équivalent) ;
• une politique de sécurité validée par la direction ;
• une charte informatique opposable, annexée au règlement intérieur ;
• les mesures techniques effectivement déployées : authentification multifacteur, sauvegardes testées, chiffrement, gestion des correctifs ;
• les actions de sensibilisation menées, et leur traçabilité ;
• un plan de réponse aux incidents, testé et daté ;
• les audits ou revues réalisés.

Une mesure non documentée est, en pratique, une mesure inexistante : c'est le premier constat des contrôles de la CNIL.

Avant NIS2, la responsabilité cyber était principalement portée par la personne morale (l'entreprise). Avec NIS2, la responsabilité personnelle des dirigeants est explicitement engagée. Article 20 §1 de la directive :

« Les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités, supervisent leur mise en œuvre et soient tenus responsables des manquements. »

— Article 20 §1, directive NIS2 (UE 2022/2555)

Concrètement, un dirigeant qui n'aurait pas approuvé une politique de sécurité, n'aurait pas alloué de budget suffisant, n'aurait pas suivi de formation cybersécurité, peut être personnellement sanctionné :

• Sanctions disciplinaires au titre du mandat social (révocation, mise à pied)
• Interdiction temporaire d'exercer des fonctions dirigeantes dans le secteur
• Sanctions civiles (mise en cause de la responsabilité civile personnelle, dommages-intérêts à l'entreprise)
• Sanctions pénales dans les cas où une infraction est caractérisée — ce qui suppose un texte d'incrimination précis, et non la seule survenue d'un incident

C'est l'une des évolutions les plus marquantes de NIS2 : la cybersécurité monte au niveau du COMEX et de la direction générale, et ne peut plus être déléguée intégralement à la DSI ou au RSSI. Les dirigeants doivent eux-mêmes suivre une formation cybersécurité — cette formation peut en faire partie.

Le salarié a des obligations individuelles en matière de cybersécurité, sans pour autant porter la responsabilité globale :

• Respecter la charte informatique, dès lors qu'elle a été régulièrement annexée au règlement intérieur — et sous réserve que ses restrictions soient justifiées et proportionnées, comme l'exige l'article L1121-1 du Code du travail
• Suivre les formations obligatoires
• Appliquer les mesures de sécurité au quotidien (mots de passe, MFA, signalement)
• Signaler immédiatement tout incident ou comportement suspect
• Ne pas contourner les mesures techniques (VPN, MDM, restrictions)
• Respecter la confidentialité des informations auxquelles ses fonctions lui donnent accès, au titre de l'obligation de loyauté attachée au contrat de travail (article L1222-1)

En cas de manquement caractérisé, le salarié peut faire l'objet de sanctions disciplinaires :

• Avertissement ou blâme pour un manquement isolé sans gravité
• Mise à pied disciplinaire pour un manquement répété ou significatif
• Licenciement pour faute sérieuse pour une négligence grave avec impact
• Licenciement pour faute grave pour un acte délibéré (vol de données, sabotage, contournement intentionnel)
• Licenciement pour faute lourde + dommages-intérêts pour une intention de nuire avérée

Quatre principes, constants en droit du travail, encadrent ces sanctions :

• C'est à l'employeur d'établir la faute. Une sanction disciplinaire suppose un comportement fautif du salarié, apprécié par le juge ; le simple fait qu'un incident se soit produit ne suffit pas.
• Se faire piéger n'est pas une faute. Un salarié abusé par un message construit pour tromper est lui-même victime. Les campagnes modernes sont conçues pour fonctionner sur des personnes attentives — c'est l'objet du module 2.
• La sanction doit être proportionnée à la gravité du manquement, et intervenir dans les délais de la procédure disciplinaire (article L1332-2 du Code du travail).
• La responsabilité civile personnelle du salarié envers son employeur ne peut être engagée qu'en cas de faute lourde, c'est-à-dire d'intention de nuire caractérisée — un principe très protecteur, et constant en jurisprudence.

Ce qui se sanctionne réellement, ce n'est donc presque jamais le clic : c'est la dissimulation de l'incident, le contournement délibéré et répété des règles, ou l'acte intentionnel — exfiltration de fichiers avant un départ, sabotage. La distinction est importante à énoncer clairement aux équipes : c'est elle qui rend le signalement possible.

Deux fonctions clés à distinguer :

Le RSSI (Responsable de la Sécurité des Systèmes d'Information) est en charge de la sécurité technique et organisationnelle. Son rôle :

• Définir la politique de sécurité (PSSI)
• Piloter le SOC et la réponse aux incidents
• Évaluer les risques et arbitrer les mesures
• Reporter à la direction
• Coordonner les audits et certifications (ISO/IEC 27001, audits clients, homologations)
• Animer la communauté sécurité interne

Le DPO (Data Protection Officer / Délégué à la Protection des Données) est en charge de la conformité RGPD et donc de la protection des données personnelles. Son rôle :

• Vérifier la conformité des traitements de données personnelles
• Tenir le registre des traitements
• Conseiller sur les analyses d'impact (AIPD)
• Notifier la CNIL en cas de violation de données
• Servir de point de contact pour les personnes concernées et la CNIL
• Sensibiliser et former les équipes au RGPD

Le DPO est obligatoire dans certains cas (organismes publics, traitement à grande échelle de données sensibles, suivi systématique à grande échelle — RGPD article 37). Il est souvent externalisé dans les PME via des cabinets spécialisés. Le RSSI n'est pas explicitement obligatoire mais NIS2 impose une fonction équivalente dans toutes les entités essentielles et importantes.

DPO et RSSI doivent travailler ensemble mais avec des rôles distincts. Un même profil peut cumuler les deux dans une PME (avec attention à l'éventuel conflit d'intérêts puisque le DPO est indépendant), mais idéalement deux personnes différentes en ETI / grand groupe.

Aucune entreprise ne fait sa cybersécurité seule. Elle dépend toujours de fournisseurs : éditeurs de logiciels, hébergeurs cloud, prestataires informatiques, sous-traitants applicatifs. La responsabilité se partage selon des règles précises :

RGPD : distinction responsable de traitement (vous, qui décidez de la finalité) et sous-traitant (votre prestataire, qui exécute pour votre compte). L'article 28 impose un contrat écrit (« DPA — Data Processing Agreement ») entre les deux, avec engagements précis du sous-traitant. En cas de violation chez le sous-traitant, vous restez le responsable principal — mais le sous-traitant est co-responsable.

NIS2 : la directive impose la gestion des risques de la supply chain. Les entités essentielles et importantes doivent évaluer la cybersécurité de leurs fournisseurs critiques et inclure des engagements de sécurité dans leurs contrats. Pour les CSP (Critical Service Providers) du secteur financier, DORA va plus loin avec une supervision directe par les autorités européennes.

Bonnes pratiques :

• Annexe sécurité contractuelle détaillée : exigences techniques (chiffrement, MFA, EDR), organisationnelles (formation, audits), notifications d'incident (délais, contenus)
• Certifications exigées selon la criticité : ISO 27001, SOC 2 Type II, certification ANSSI / FedRAMP pour les hébergeurs
• Audit régulier : droit d'audit contractuel, ou audits par un tiers de confiance
• Notification d'incident : engagement contractuel sous 24 h maximum, avec procédure claire
• Plan de réversibilité : capacité à changer de prestataire en cas de défaillance, sans perte de données

Au-delà des responsabilités individuelles et des sanctions, la culture cybersécurité d'une entreprise est ce qui fait la différence entre une bonne et une mauvaise posture. Marqueurs d'une culture forte :

• Direction exemplaire : les dirigeants suivent eux-mêmes les formations et respectent les règles
• Communication régulière : newsletter cybersécurité, retours d'expérience d'incidents évités
• Simulations de phishing régulières + débriefing pédagogique (pas punitif)
• Reconnaissance positive des bons signalements (« signaleur du mois »)
• Onboarding renforcé : formation cyber dès le 1^er jour, pas un détail dans le livret d'accueil
• Drills réguliers : exercices de table-top pour les équipes IT et direction, scénarios d'incidents
• Un budget identifié : une ligne dédiée à la sécurité, arbitrée et suivie, plutôt qu'un reliquat prélevé sur les projets
• Regards extérieurs : audit de certification, test d'intrusion, exigences d'un assureur ou d'un client — tout ce qui empêche l'organisation de s'auto-évaluer seule

Aucune de ces pratiques ne demande de budget : elles relèvent d'une décision de management. Et c'est précisément là que se joue l'écart entre deux organisations qui disposent pourtant des mêmes outils techniques — l'une sait en quelques minutes qu'elle est attaquée, l'autre l'apprend des semaines plus tard.