Sanctions NIS2 : montants, périmètre et responsabilité du dirigeant

Les sanctions NIS2 ne se résument pas aux amendes : elles combinent injonctions, contrôles, obligations de preuve et exposition possible des dirigeants selon les modalités de transposition nationale.

Dès qu'on aborde NIS2, les montants de sanctions circulent vite : 10 millions d'euros, 2 % du chiffre d'affaires mondial. Ces chiffres sont réels, mais ils ne disent pas l'essentiel. Le régime de sanctions de NIS2 ne se limite pas à une amende plus élevée que les cadres précédents, il introduit une architecture de sanctions à plusieurs niveaux, dont certains visent directement la personne du dirigeant, indépendamment de toute amende à l'entreprise.

Voici ce qu'il faut comprendre, dans l'ordre où cela compte vraiment pour un COMEX.

Les montants : un barème calqué sur le RGPD, mais pas calé sur les mêmes plafonds

Les amendes administratives prévues par la directive suivent une logique de double seuil, le montant le plus élevé entre une valeur absolue et un pourcentage du chiffre d'affaires mondial, déjà familière depuis le RGPD :

Pour comparer : le RGPD prévoit un plafond plus élevé (20 millions d'euros ou 4 % du CA), mais vise l'entité juridique. NIS2 vise un plafond inférieur côté entreprise, tout en ouvrant, lui, la voie à la mise en cause de la personne physique du dirigeant, ce que le RGPD ne fait pas de façon comparable. C'est cette différence qui doit retenir l'attention, plus que la comparaison brute des plafonds.

Au-delà de l'amende : l'arsenal de pouvoirs de l'ANSSI

Le montant de l’amende n’est qu’un des leviers prévus par NIS2. En France, ces pouvoirs devront être exercés dans le cadre de la loi Résilience et de ses textes d’application : il convient donc de les présenter comme le futur arsenal de contrôle et de sanction de l’autorité compétente, et non comme un dispositif déjà pleinement activable au titre de NIS2.

• Injonctions et mises en demeure : obligation de mettre en œuvre des mesures correctives dans un délai donné, sous la supervision directe de l'autorité.
• Audits de sécurité obligatoires, menés par l'ANSSI elle-même ou par des prestataires PASSI agréés.
• Suspension temporaire de certifications ou d'autorisations d'exploitation, en particulier dans les secteurs stratégiques comme l'énergie ou les transports, avec un effet potentiel sur la continuité même de l'activité.
• Publication officielle de la sanction (politique de name and shame), avec l'impact réputationnel et commercial que cela suppose auprès des clients, partenaires et investisseurs.
• Entrave aux audits : le fait de compliquer ou de ne pas coopérer avec une inspection ANSSI, ou de présenter une documentation insuffisante, constitue en soi un manquement sanctionnable, indépendamment du niveau de sécurité réel de l'organisation.

Cette gradation signifie qu’une organisation pourra, dans le futur cadre français de transposition, se retrouver sous injonction, sous mise en demeure ou sous audit renforcé avant même qu’une amende ne soit prononcée. L’absence de preuve documentaire deviendra alors un facteur de vulnérabilité majeur, même lorsque le niveau technique réel paraît satisfaisant.

Le tournant : la responsabilité personnelle du dirigeant

C'est la disposition qui distingue le plus nettement NIS2 des cadres antérieurs. La directive ne se contente pas de sanctionner l'entité juridique, elle ouvre la voie à la mise en cause personnelle des membres de l'organe de direction.

Concrètement, en cas de manquement grave ou répété aux obligations de supervision, d’approbation des mesures de gestion des risques et de formation, l’exposition personnelle du dirigeant doit être formulée avec précision. Elle dépendra des modalités de transposition nationale et du lien établi entre le manquement de gouvernance et les obligations applicables à l’entité.

• La mise en cause possible du dirigeant en cas de manquement avéré à ses obligations de supervision, selon le cadre national applicable ;
• Une interdiction temporaire d’exercer des fonctions de direction, prévue par NIS2 pour certains manquements et sous réserve des modalités retenues par la transposition française ;
• La possibilité de recours civils de droit commun de la part de partenaires, clients ou fournisseurs lésés, à distinguer des sanctions administratives prévues par NIS2.

Ce changement de paradigme mérite d’être nommé clairement. Avec NIS2, la gouvernance cyber devient opposable aux organes de direction. Le dirigeant ne peut plus se limiter à déléguer le sujet, il doit pouvoir démontrer qu’il a approuvé les mesures, suivi leur mise en œuvre et entretenu un niveau de compréhension suffisant par la formation.

Ce qui déclenche réellement un contrôle

Un point souvent mal compris : un incident de sécurité, même grave, ne déclenche pas automatiquement une sanction. Ce qui est sanctionné, c'est l'écart entre ce qui aurait dû être en place et ce qui l'était effectivement.

Si une enquête post-incident révèle que les mesures minimales n'étaient pas mises en œuvre, absence de politique de sécurité documentée, absence de plan de continuité, absence d'authentification forte, et que la direction n'avait pas exercé ses obligations de supervision, c'est cette double défaillance, technique et de gouvernance, qui ouvre la voie à la sanction personnelle.

Autrement dit, la documentation de preuve protège le dirigeant, davantage que la seule absence d'incident. Un dirigeant capable de produire, en quelques minutes, ses comptes rendus de COMEX, ses validations de plans d'action et les attestations de formation de ses équipes dirigeantes n'est pas dans la même position qu'un dirigeant qui doit reconstituer ces preuves dans l'urgence, sous le regard de l'autorité de contrôle.

Le régime de supervision diffère selon le statut EE ou EI

Le niveau d'exposition au contrôle n'est pas le même selon que l'organisation est qualifiée entité essentielle ou entité importante :

• Pour une entité essentielle, la supervision est appelée à être plus proactive : des audits ou contrôles pourront être déclenchés sans attendre la survenance d’un incident, selon le cadre français de transposition.
• Pour une entité importante, la supervision repose principalement sur une logique ex post : elle peut être déclenchée après incident, signalement ou présomption de manquement.

Cette différence ne doit cependant pas conduire une entité importante à se sentir à l'abri. L'absence de contrôle proactif ne signifie pas l'absence de risque : un incident, ou même un signalement externe, peut à tout moment ouvrir une procédure de contrôle complète.

Notifications d'incidents : un régime de sanction à part

Les obligations de notification constituent un troisième front de sanction, distinct de la conformité technique elle-même. Le calendrier est strict et se déroule en trois temps, à partir du moment où l’entité a connaissance d’un incident significatif :

1. Alerte précoce sous 24 heures après avoir eu connaissance d’un incident significatif ;
2. Notification détaillée sous 72 heures, avec une évaluation préliminaire ;
3. Rapport final sous un mois, avec l'analyse complète de l'incident et des mesures correctives.

Le non-respect de ces délais constitue une infraction sanctionnable indépendamment de l'incident initial lui-même. Une organisation peut donc être en règle sur le plan technique tout en s'exposant à une sanction distincte, simplement parce que sa chaîne de notification n'a pas été suffisamment rapide ou rigoureuse. Cela suppose, en amont, une équipe et un processus déjà prêts à qualifier un incident et à déclencher la notification. Improviser ce processus au moment de la crise est la pire des options.

Où en sont, concrètement, les premiers contrôles en France

À ce stade, et malgré ce qu'on peut parfois lire, la loi Résilience qui transpose NIS2 en droit français n'est toujours pas promulguée : le texte reste en navette parlementaire, avec un passage en hémicycle évoqué pour l'été 2026. Tant que la promulgation et les décrets d'application ne sont pas intervenus, l'ANSSI ne dispose pas encore officiellement de l'ensemble de ses pouvoirs de contrôle et de sanction au titre de NIS2 sur le sol français.

Cela ne signifie pas que la pression est nulle dans l'intervalle. L'ANSSI recommande déjà aux organisations de s'auto-évaluer via le Référentiel Cyber France (ReCyF, version 2.5 publiée le 17 mars 2026) et de s'inscrire sur la plateforme MonEspaceNIS2, pour anticiper la bascule. La pression peut venir d'ailleurs avant même la promulgation : des clients régulés qui répercutent leurs propres exigences par contrat, ou des cyber-assureurs qui durcissent leurs conditions de couverture en l'absence de preuve de maturité cyber.

Ce que cela signifie pour un COMEX, en synthèse

Trois principes à retenir de ce panorama des sanctions :

• L'absence de preuve est, en soi, un facteur aggravant. Une documentation insuffisante peut être sanctionnée indépendamment du niveau de sécurité réel.
• La sanction la plus dissuasive n'est pas financière. Une interdiction temporaire d'exercer, ou la suspension d'une autorisation d'exploitation, peut avoir un effet plus déterminant qu'une amende, même élevée.
• La défense du dirigeant se construit avant l'incident, pas après. Une gouvernance documentée et traçable est ce qui distingue un dirigeant en mesure de démontrer sa supervision active d'un autre qui devra la reconstituer sous pression.

Livre blanc - Risques Cyber

GRATUIT

Comment piloter vos risques et votre conformité à l'ère de NIS2, CRA et DORA ?

Unifiez votre conformité pour faire face aux nouvelles exigences réglementaires.

Télécharger le guide