Dans 80 % des TPE-PME françaises, le dirigeant endosse lui-même le rôle de responsable informatique en plus d’assurer la gestion de son entreprise. À ce titre, il doit aussi maîtriser la cybersécurité de sa PME. Mais en réalité, peu de dirigeants disposent de suffisamment de temps, de connaissances ou de ressources financières pour prendre ce sujet en main.
Pourtant, plusieurs réglementations engagent la responsabilité personnelle du dirigeant si la cybersécurité de son entreprise fait défaut.
Dans cet article, vous découvrirez :
- les différentes réglementations qui engagent votre responsabilité personnelle,
- les fondements juridiques sur lesquels la responsabilité personnelle du dirigeant peut être engagée,
- les sanctions encourues en cas de manquement,
- la différence entre obligation de moyens et obligation de résultat,
- les bonnes pratiques pour sécuriser votre responsabilité personnelle en tant que dirigeant.
1. Les principales réglementations qui engagent la responsabilité personnelle du dirigeant
1.1 Le RGPD :
Le Règlement général sur la protection des données (RGPD) s’applique à toute entreprise qui traite des données personnelles, comme des informations relatives à la clientèle, des données RH, ou des coordonnées de prospects. L’article 32 du règlement impose aux entreprises de garantir la confidentialité, l’intégrité et la disponibilité de ces données.
Si le RGPD s’adresse aux personnes morales, la responsabilité personnelle du dirigeant est également concernée. L’article 226-17 du Code pénal sanctionne le fait de traiter des données personnelles sans avoir mis en œuvre les mesures de sécurité exigées par l’article 32 du RGPD. Le dirigeant peut être tenu personnellement responsable, y compris pour les manquements de ses prestataires informatiques, sauf s’il a mis en place une délégation de pouvoirs réelle vers un membre de la direction. En cas de manquement, la peine encourue est de cinq ans d’emprisonnement et de 300 000 euros d’amende.
1.2 La directive NIS2 :
La directive NIS2 est une réglementation européenne qui oblige certaines entreprises à adopter des mesures pour renforcer leur niveau de cybersécurité. Elle distingue deux catégories (les entités essentielles et les entités importantes) et s’applique aux entreprises d’au moins 50 salariés ou 10 millions d’euros de chiffre d’affaires, dans des secteurs jugés sensibles comme l’énergie, la santé, les transports ou le numérique, ainsi qu’à certains de leurs sous-traitants et prestataires.
L’article 20 de la directive engage la responsabilité personnelle du dirigeant. Si votre PME est concernée, vous devez approuver personnellement les mesures de gestion des risques cyber de votre entreprise, superviser leur mise en œuvre, et suivre vous-même une formation sur le sujet. Cette obligation ne se délègue pas à votre responsable informatique ou à un prestataire. Vous devez être en mesure de comprendre les cyber risques qui pèsent sur votre entreprise.
En cas de manquement, la responsabilité personnelle du dirigeant est engagée uniquement pour les entités dites “essentielles”. Vous risquez une interdiction temporaire d’exercer vos fonctions de direction, en plus de l’amende encourue par l’entreprise, qui peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
1.3 DORA
DORA (Digital Operational Resilience Act) est un règlement européen qui impose aux acteurs financiers de sécuriser leurs systèmes informatiques. Il s’applique aussi à leurs prestataires informatiques : chaque entité financière doit évaluer si un prestataire lui fournit un service critique et contractualiser ses exigences de sécurité le cas échéant.
Selon l’article 5 du règlement, les dirigeants des organisations concernées doivent définir, approuver et superviser le dispositif de gestion des risques informatiques. Ils sont également tenus de maintenir leurs connaissances à jour en matière de cybersécurité. Là encore, cette responsabilité n’est pas transférable.
L’article 50 prévoit des sanctions qui peuvent vous viser personnellement en cas de manquement grave. Les autorités de contrôle (l’ACPR et l’AMF) peuvent notamment vous infliger une sanction financière distincte de celle de l’entreprise. Le droit français doit encore préciser les montants et les conditions d’application des sanctions personnelles destinées au dirigeant.
2. Les fondements juridiques qui engagent la responsabilité personnelle du dirigeant
2.1 La responsabilité civile
Le fondement juridique le plus courant pour engager la responsabilité personnelle du dirigeant est la faute de gestion, prévue par l’article L225-251 du Code de commerce pour les sociétés anonymes et par l’article L223-22 pour les SARL.
La responsabilité civile peut être engagée par :
- la société elle-même par le biais d’une action sociale en cas de faute de gestion,
- les actionnaires en cas de négligence ayant causé un préjudice à la société,
- les tiers victimes (clients, partenaires…), en cas d’acte intentionnel et particulièrement grave imputable à la fonction de dirigeant.
2.2 La responsabilité pénale
En droit français, une personne ne répond pénalement que de ses propres actes : c’est le principe posé par l’article 121-1 du Code pénal. Si votre entreprise est elle-même poursuivie pénalement, cela n’exclut pas systématiquement votre responsabilité personnelle : l’article 121-2 précise que ces deux responsabilités pénales, celle de l’entreprise et la vôtre, peuvent coexister pour les mêmes faits.
Sur le plan pénal, deux infractions peuvent vous être reprochées personnellement : l’absence des mesures de sécurité exigées par l’article 32 du RGPD (article 226-17 du Code pénal), et le défaut de notification d’une violation de données à la CNIL (article 226-17-1). Les deux sont punies de cinq ans d’emprisonnement et de 300 000 euros d’amende pour les personnes physiques.
Le mécanisme reconnu pour déplacer ce risque vers quelqu’un d’autre dans l’entreprise est la délégation de pouvoirs réelle, donnée à un membre de la direction disposant de l’autorité, de la compétence et des moyens nécessaires pour assumer cette mission. Une délégation confiée à un prestataire externe ne vous protège pas.
3. Les conséquences d’une cyberattaque sur la responsabilité personnelle du dirigeant
Lorsqu’une cyberattaque conduit une entreprise à la liquidation judiciaire, le liquidateur ou le procureur de la République peut engager une action en comblement de passif contre le dirigeant. Cette procédure fait peser les dettes de l’entreprise sur son patrimoine personnel. Elle ne peut être déclenchée que si une faute de gestion a été caractérisée et qu’elle a contribué à l’insuffisance d’actifs empêchant le remboursement des dettes.
Cette action peut se cumuler avec des sanctions personnelles distinctes, comme l’interdiction de gérer une entreprise, prévue jusqu’à 15 ans par l’article L653-8 du Code de commerce. Elle entraîne une inscription au fichier des interdits de gérer et bloque toute reprise ou création d’entreprise pendant sa durée.
Cependant, les sanctions sont souvent proportionnelles à la taille de l’entreprise et aux moyens dont elle dispose. Une PME de bonne foi ayant engagé une démarche de cybersécurité avec des ressources limitées sera jugée différemment d’une négligence caractérisée de la part d’un dirigeant d’ETI ou de grand groupe.
4. Responsabilité personnelle du dirigeant : une obligation de moyens ou de résultat ?
Une partie des obligations réglementaires relève d’une obligation de moyens : la loi attend une démarche de renforcement de la cybersécurité. Par exemple, le RGPD demande de superviser la gestion des vulnérabilités de votre système informatique ou de sensibiliser vos équipes aux enjeux de protection des données. Le fait d’engager votre entreprise dans la mise en place de ces mesures permet de montrer votre bonne foi en tant que dirigeant. Même en cas de cyberattaque, votre responsabilité ne devrait pas être mise en cause sur le plan juridique.
D’autres obligations relèvent d’une obligation de résultat. La conformité s’apprécie de façon binaire. C’est par exemple le cas de l’obligation de notification à la CNIL dans un délai de 72 heures en cas de violation de données. Le manquement se prouve par un retard sur le délai fixé par la loi, indépendamment de la qualité de votre dispositif de sécurité.
5. Comment sécuriser la responsabilité personnelle du dirigeant ?
Plusieurs actions permettent de construire une démarche de bonne foi qui protège votre responsabilité juridique en cas d’incident cyber.
- Formaliser une politique de cybersécurité. Ce document officiel fixe les règles, les objectifs et les responsabilités au sein de votre PME pour protéger les données et les systèmes informatiques des cyber menaces. Il est le socle de toute démarche de cybersécurité.
- Documenter votre gouvernance cyber. Consignez l’ensemble des décisions et des actions prises pour renforcer votre niveau de cybersécurité afin de pouvoir les présenter pour prouver votre bonne foi.
- Vous entourer. Faites appel à votre responsable informatique ou à un prestataire spécialisé pour vous aider à structurer votre gouvernance de la cybersécurité. Attention, vous restez responsable de la conformité réglementaire de votre entreprise.
- Vous former, et former vos équipes. C’est l’une des mesures attendues par le RGPD et par la directive NIS2, qui réduit les pratiques à risque au sein de votre PME.
- Réaliser un audit de sécurité. La première étape pour réduire votre niveau d’exposition aux cybermenaces (et donc le risque juridique qui pèse sur vous et votre entreprise) consiste à identifier et corriger les vulnérabilités présentes dans vos systèmes informatiques. Pour y parvenir, il suffit de lancer un diagnostic à distance comme celui proposé par Sekost, réalisé à partir de votre nom de domaine ou de votre adresse IP.
- Préparer la réponse à un incident. Le fait de définir à l’avance les procédures à suivre et les personnes à contacter (y compris la notification à la CNIL) permet de stopper plus rapidement l’incident cyber et de ne pas oublier les obligations à respecter.
Ce qu’il faut retenir
En matière de cybersécurité, la responsabilité personnelle du dirigeant est strictement définie par le Code pénal et le Code de commerce, ainsi que par le RGPD, la directive NIS2 ou encore DORA. En cas de non-conformité, votre responsabilité peut rapidement être engagée sur le plan juridique, avec de lourdes conséquences pour vous à la clé. La mise en place de quelques mesures simples et efficaces de cybersécurité est essentielle pour montrer votre bonne foi auprès des régulateurs et éviter une sanction.
FAQ
Le dirigeant est-il personnellement responsable en cas de cyberattaque ?
Oui, dans certains cas. Si une négligence caractérisée est démontrée, par exemple l’absence totale de mesures de sécurité malgré des alertes connues, vous pouvez être poursuivi civilement pour faute de gestion, ou pénalement sur le fondement des articles 226-17 et 226-17-1 du Code pénal pour un manquement au RGPD, en plus de la sanction infligée à votre entreprise.
Quelle est la différence entre la responsabilité de l’entreprise et celle du dirigeant ?
La responsabilité de l’entreprise engage son propre patrimoine, généralement sous forme d’amende, prononcée par exemple par la CNIL. La vôtre engage votre mandat et, dans certains cas, votre patrimoine personnel et vos finances, sur le fondement de textes distincts comme le Code de commerce ou le Code pénal. Cela suppose une faute qui vous est directement imputable.
Une cyberassurance protège-t-elle le dirigeant personnellement ?
Elle protège surtout l’entreprise contre les conséquences financières d’un incidenta. Sa couverture s’arrête là où commence votre faute personnelle grave ou le non-respect avéré d’une obligation réglementaire.
Déléguer la cybersécurité à un prestataire informatique suffit-il à éviter sa responsabilité personnelle ?
Un contrat de prestation classique reste insuffisant à lui seul. Seule une délégation de pouvoirs réelle vers un membre de la direction, disposant de l’autorité, de la compétence et des moyens nécessaires pour assumer cette mission, peut déplacer une partie de ce risque.
Quelles sanctions personnelles un dirigeant de PME risque-t-il concrètement ?
Selon les cas : des dommages et intérêts pour faute de gestion, une peine pouvant atteindre cinq ans d’emprisonnement et 300 000 euros d’amende pour un manquement au RGPD, une interdiction temporaire d’exercer si votre entreprise est une entité essentielle sous NIS2, ou une interdiction de gérer pouvant aller jusqu’à 15 ans en cas de comblement de passif, prévue par l’article L653-8 du Code de commerce.
