Dirigeant de PME : êtes-vous responsable en cas de cyberattaque ? Ce que dit la loi

« Ce n’est pas moi qui ai cliqué sur le lien piégé. » Cette phrase, beaucoup de dirigeants de PME l’ont prononcée après une cyberattaque, convaincus que la responsabilité s’arrête à la porte de leur entreprise. Ce n’est pas toujours vrai. Entre le droit des sociétés, le RGPD et la nouvelle directive NIS2, un dirigeant peut, dans certaines conditions précises, voir sa responsabilité personnelle engagée après un piratage, une fuite de données ou un ransomware.

Cet article fait le point, en langage accessible, sur ce que dit réellement la loi française et européenne : quand la responsabilité reste celle de l’entreprise, quand elle peut remonter jusqu’au dirigeant, et surtout comment se protéger juridiquement avant qu’un incident ne survienne. Cet article ne remplace pas une consultation juridique personnalisée, mais il vous donne les repères essentiels. Il complète notre guide complet de cybersécurité pour PME.

Un dirigeant de PME peut-il être tenu responsable d’une cyberattaque ?

La règle de base rassure la plupart des dirigeants : dans une société à responsabilité limitée (SARL, SAS, EURL…), c’est en principe la personne morale, l’entreprise, qui répond de ses dettes et de ses fautes, pas le patrimoine personnel du gérant ou du président. C’est précisément l’intérêt de créer une société plutôt que d’exercer en nom propre.

Mais cette protection n’est pas absolue. Le droit français connaît de longue date la notion de « faute détachable des fonctions » : lorsqu’un dirigeant commet une faute d’une gravité particulière, incompatible avec l’exercice normal de ses fonctions, sa responsabilité personnelle peut être engagée, en plus ou à la place de celle de l’entreprise. Ignorer pendant des mois des alertes écrites de son prestataire informatique sur une faille critique, refuser sciemment d’investir le minimum vital en sécurité malgré des mises en garde documentées, ou dissimuler une fuite de données à ses clients : ce sont le type de comportements qui peuvent, selon les circonstances, basculer d’une simple défaillance de gestion vers une responsabilité personnelle.

Trois textes distincts peuvent engager cette responsabilité, séparément ou cumulativement : le droit commun de la responsabilité civile et pénale des dirigeants, le RGPD, et depuis peu la directive NIS2 pour les entreprises concernées. Chacun répond à une logique différente, détaillée dans les sections suivantes.

La responsabilité civile : ce que risque votre patrimoine personnel

La responsabilité civile d’un dirigeant peut être recherchée de deux façons après une cyberattaque. D’abord par l’entreprise elle-même (ou ses associés), qui peut lui reprocher une faute de gestion ayant aggravé le préjudice, par exemple un défaut de réaction ou une négligence répétée. Ensuite, et c’est le cas le plus redouté, par un tiers extérieur, comme un client dont les données personnelles ont fuité, qui peut chercher à engager la responsabilité personnelle du dirigeant s’il démontre une faute intentionnelle ou d’une particulière gravité, séparable de l’exercice normal de ses fonctions.

En pratique, les tribunaux français exigent un niveau de gravité élevé pour retenir cette responsabilité personnelle : une simple erreur de jugement, un budget de sécurité insuffisant faute de moyens, ou une attaque particulièrement sophistiquée ne suffisent généralement pas. En revanche, ignorer délibérément des recommandations écrites, ne jamais former ses équipes malgré des incidents répétés, ou continuer à utiliser un logiciel dont la vulnérabilité critique a été largement médiatisée sans jamais appliquer le correctif, peut constituer ce type de faute caractérisée. C’est tout l’enjeu de la documentation de vos décisions, abordée plus loin dans cet article.

La responsabilité pénale : dans quels cas un dirigeant peut être poursuivi

Le volet pénal est souvent le plus mal connu des dirigeants de PME, alors qu’il vise directement les personnes physiques. Le Code pénal prévoit, aux articles 226-16 et suivants, des sanctions pouvant aller jusqu’à cinq ans d’emprisonnement et 300 000 € d’amende pour un traitement de données à caractère personnel réalisé sans mettre en œuvre les mesures de sécurité appropriées exigées par le RGPD. Ces poursuites, rares mais réelles, visent le représentant légal de l’entreprise, c’est-à-dire, dans la grande majorité des PME, le dirigeant lui-même.

Dans les faits, ces poursuites pénales restent aujourd’hui peu fréquentes pour une simple cyberattaque subie : le parquet et la CNIL privilégient largement la voie administrative pour les entreprises de bonne foi qui ont mis en œuvre des mesures raisonnables. Le risque pénal se concrétise surtout en cas de négligence caractérisée et répétée, ou lorsque le dirigeant a sciemment dissimulé un incident aux autorités ou aux personnes concernées. La jurisprudence spécifique aux cyberattaques reste encore émergente en France : elle s’appuie pour l’instant sur des principes déjà bien établis du droit pénal des affaires et du droit des sociétés, plutôt que sur un corpus massif de décisions dédiées au piratage informatique.

RGPD : les sanctions qui visent l’entreprise et parfois le dirigeant

Le RGPD impose à toute entreprise qui traite des données personnelles, ce qui concerne pratiquement toutes les PME (salariés, clients, prospects), de mettre en œuvre des « mesures techniques et organisationnelles appropriées » pour garantir un niveau de sécurité adapté au risque, conformément à son article 32. En cas de manquement constaté après une fuite de données, la CNIL peut infliger une amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Cette sanction vise en premier lieu l’entreprise en tant que responsable de traitement, pas directement le patrimoine personnel du dirigeant.

La nuance importante, souvent ignorée, c’est que ce même manquement peut également fonder des poursuites pénales contre le dirigeant, comme évoqué au paragraphe précédent, en parallèle de la sanction administrative visant l’entreprise. Les deux voies, administrative et pénale, ne s’excluent pas. Notre article sur les obligations concrètes RGPD et cybersécurité des PME détaille les mesures de sécurité attendues par la CNIL pour limiter ce risque.

NIS2 : une responsabilité personnelle désormais explicite pour certains dirigeants

C’est la vraie nouveauté de ces dernières années. Contrairement au RGPD, la directive NIS2 mentionne explicitement les organes de direction des entités essentielles et importantes : ce sont eux qui doivent approuver les mesures de gestion des risques cyber et en superviser la mise en œuvre. Le texte prévoit que les États membres peuvent engager la responsabilité personnelle des dirigeants en cas de manquement grave et répété à ces obligations, avec des sanctions pouvant aller, dans les cas les plus sévères, jusqu’à une interdiction temporaire d’exercer des fonctions de direction dans l’entité concernée.

Toutes les PME ne sont pas concernées par NIS2 : le texte cible les entités essentielles (EE) et importantes (EI), généralement des structures de taille moyenne à grande dans des secteurs sensibles, ou les sous-traitants stratégiques de ces entités. Mais le périmètre est plus large qu’on ne le pense souvent, et de nombreuses PME sont concernées indirectement en tant que fournisseurs ou prestataires d’une entité soumise à la directive. Notre guide de mise en conformité NIS2 pour PME et notre article « NIS2 : ce que la nouvelle directive européenne change pour votre PME » permettent de vérifier si votre entreprise entre dans ce périmètre.

Les obligations légales minimales que tout dirigeant doit connaître

Indépendamment de la taille de votre PME ou de votre secteur, un socle d’obligations légales s’applique dès lors que vous traitez des données personnelles, ce qui concerne la quasi-totalité des entreprises françaises.

Le délai de 72 heures pour notifier une violation de données à la CNIL surprend souvent les dirigeants découvrant un incident pour la première fois. Notre article « cyberattaque : que faire dans les 24 premières heures » et notre plan de réponse à incident pour les PME détaillent la marche à suivre pour respecter ces délais sous la pression d’une crise.

L’assurance cyber protège-t-elle le dirigeant personnellement ?

C’est une confusion très répandue : l’assurance cyber classique couvre les pertes et responsabilités de l’entreprise (perte d’exploitation, frais de gestion de crise, responsabilité civile envers des tiers), mais elle ne couvre pas automatiquement la responsabilité personnelle du dirigeant. Pour cela, il existe un contrat distinct, l’assurance « Responsabilité Civile des Mandataires Sociaux » (RCMS, parfois appelée D&O pour « Directors and Officers »), qui prend en charge les frais de défense juridique et, sous certaines conditions, les dommages et intérêts dus par le dirigeant à titre personnel.

Un point mérite d’être connu avant de signer quoi que ce soit : en droit français, une amende pénale ne peut jamais être prise en charge par une assurance, quelle que soit la police souscrite, pour des raisons d’ordre public. En revanche, les frais d’avocat pour se défendre dans une procédure, même pénale, sont eux généralement assurables. Vérifier l’articulation entre votre assurance cyber d’entreprise et votre éventuelle RCMS personnelle est donc une démarche à part entière. Notre guide complet de l’assurance cyber pour PME détaille ce que couvrent réellement ces contrats.

Comment un dirigeant peut se protéger juridiquement

Face à ces risques, la meilleure défense d’un dirigeant n’est pas de tout gérer seul, mais de documenter et de structurer sa gouvernance de la cybersécurité pour pouvoir prouver, le jour venu, qu’il a agi avec diligence.

1. Faites réaliser un audit régulier et conservez-en la preuve. Un audit daté, avec un plan d’action suivi dans le temps, constitue l’une des preuves de diligence les plus solides devant un juge ou un contrôleur CNIL. Notre modèle d’audit cybersécurité PME et l’outil d’audit cyber interactif de SIAC Media permettent de réaliser cet état des lieux rapidement, y compris sans compétence technique.
2. Formalisez une politique de sécurité écrite. Un document daté, signé et diffusé aux équipes prouve que la sécurité fait l’objet d’une gouvernance active, et non d’improvisation. Notre modèle de politique de sécurité informatique pour PME fournit une base prête à l’emploi.
3. Déléguez formellement par écrit ce qui doit l’être. Une délégation de pouvoirs correctement rédigée, confiée à un responsable identifié (interne ou prestataire), peut transférer une partie de la responsabilité pénale liée à un manquement technique précis, à condition que le délégataire dispose réellement des moyens et de l’autorité nécessaires pour agir.
4. Formez vos équipes et documentez ces formations. L’obligation de sécurité s’apprécie aussi au regard des mesures organisationnelles, pas seulement techniques. Notre guide pour former ses employés à la cybersécurité détaille comment structurer ce volet.
5. Encadrez l’usage de l’IA par une charte écrite. Un salarié qui colle des données confidentielles dans un outil d’IA générative non encadré peut, lui aussi, être à l’origine d’une fuite qui engage votre responsabilité. Le générateur de charte IA de SIAC Media et notre guide complet pour encadrer l’usage de l’IA en entreprise permettent de formaliser rapidement ces règles.
6. Souscrivez une couverture assurantielle adaptée, à la fois pour l’entreprise et, le cas échéant, pour vous-même en tant que mandataire social.

Le choix de vos prestataires numériques engage aussi votre responsabilité

Un aspect souvent négligé de la diligence attendue d’un dirigeant concerne le choix de ses prestataires cloud et logiciels. Le RGPD impose un encadrement strict des transferts de données personnelles hors de l’Union européenne, or de nombreux éditeurs américains restent soumis au CLOUD Act, qui permet en théorie à une autorité fédérale américaine d’exiger l’accès à des données hébergées par une entreprise de droit américain, y compris sur un centre de données européen. Pour un dirigeant, choisir sciemment un prestataire dont la structure juridique garantit une localisation et une gouvernance européennes des données constitue un élément supplémentaire de diligence, en particulier pour les données les plus sensibles (RH, santé, données bancaires). Notre dossier cybersécurité souveraine PME : le guide anti-CLOUD Act détaille cette logique d’arbitrage.

De la même façon, les identifiants faibles ou réutilisés restent l’une des premières causes de compromission constatées après un incident, et l’un des premiers éléments examinés pour apprécier si des « mesures de sécurité appropriées » au sens du RGPD étaient réellement en place.

Les erreurs qui aggravent la responsabilité d’un dirigeant

• Ignorer des alertes écrites. Un email de votre prestataire IT signalant une faille critique, resté sans suite pendant des mois, devient une pièce à charge en cas de contrôle ou de procédure.
• Ne rien documenter. Sans trace écrite de vos décisions, de vos audits et de vos investissements en sécurité, il devient très difficile de prouver votre diligence, même si vous avez réellement agi.
• Dissimuler un incident aux personnes concernées. Attendre pour éviter d’inquiéter ses clients ou d’abîmer son image aggrave considérablement l’exposition juridique par rapport à une notification transparente et rapide.
• Confondre assurance cyber et assurance dirigeant. Découvrir après coup que votre contrat ne couvre pas vos frais de défense personnelle est une mauvaise surprise évitable.
• Ne jamais former les équipes. Le facteur humain reste la première porte d’entrée des attaques ; l’absence totale de sensibilisation peut être retenue comme une carence organisationnelle.
• Négliger le cas de vos prestataires et sous-traitants. Vous restez responsable du traitement même lorsque l’incident provient d’un prestataire mal audité. Notre guide sur la gestion des risques tiers détaille comment sécuriser cette chaîne de responsabilité.

Pour structurer durablement votre cybersécurité et limiter ces risques juridiques, notre guide complet Cybersécurité PME & IA 2026 propose un plan d’action sur 90 jours, du diagnostic initial à la mise en conformité.

Si votre PME entre dans le périmètre NIS2, la question de la responsabilité des dirigeants devient encore plus concrète. Pour structurer l’ensemble de la démarche de mise en conformité, gap analysis et plan d’action inclus, notre ebook dédié reprend chaque mesure attendue par la directive.

Questions fréquentes sur la responsabilité du dirigeant

Un gérant de SARL peut-il perdre son patrimoine personnel après un piratage ?
C’est possible, mais seulement en cas de faute grave, intentionnelle ou d’une négligence caractérisée, séparable de l’exercice normal de ses fonctions. Une PME qui subit une attaque malgré des mesures de sécurité raisonnables n’expose généralement pas le patrimoine personnel de son dirigeant.

La CNIL peut-elle sanctionner personnellement un dirigeant ?
La CNIL prononce ses amendes administratives contre l’entreprise, pas contre le dirigeant à titre personnel. C’est le volet pénal du Code pénal, distinct de la procédure CNIL, qui peut viser directement le représentant légal.

L’assurance cyber couvre-t-elle une amende RGPD ?
Généralement non : les amendes administratives et pénales restent, en droit français, exclues de la couverture assurantielle pour des raisons d’ordre public. En revanche, les frais de défense juridique, de gestion de crise et les indemnisations dues à des tiers peuvent être couverts selon les contrats.

NIS2 concerne-t-il vraiment les petites PME ?
Directement, NIS2 vise surtout les entités essentielles et importantes de taille moyenne à grande. Mais de nombreuses petites PME sont concernées indirectement, en tant que fournisseurs ou prestataires d’une entité soumise à la directive, qui leur imposera contractuellement des exigences de sécurité équivalentes.

Que faire immédiatement après une cyberattaque pour se protéger juridiquement ?
Documentez chronologiquement chaque action entreprise, notifiez la CNIL sous 72 heures si des données personnelles sont concernées, informez les personnes concernées si le risque est élevé, et conservez toutes les preuves de votre réaction. Notre plan de réponse à incident détaille cette procédure étape par étape.

Conclusion : se protéger juridiquement commence par se protéger techniquement

Dans l’immense majorité des cas, un dirigeant de PME qui a mis en œuvre des mesures de sécurité raisonnables, documenté ses décisions et réagi rapidement à un incident n’a rien à craindre pour son patrimoine personnel : la protection offerte par la forme sociétaire reste la règle, la responsabilité personnelle l’exception réservée aux fautes graves et caractérisées. Mais cette protection se mérite : elle repose sur des preuves concrètes de diligence, pas sur de bonnes intentions. Un audit récent, une politique de sécurité écrite, des équipes formées et une assurance adaptée constituent, ensemble, le meilleur bouclier juridique qu’un dirigeant puisse se constituer avant qu’un incident ne survienne.

Pour transformer cette compréhension juridique en plan d’action technique concret, consultez notre panorama complet des technologies de cybersécurité IA pour PME en 2026, qui recense les outils permettant de mettre en œuvre ces mesures de sécurité au quotidien.