Sanctions NIS2 : amendes et responsabilité des dirigeants

NIS2 : pourquoi les sanctions sont une réalité imminente pour les PME françaises

Lorsque le RGPD est entré en application en mai 2018, nombre d'entreprises ont parié que les sanctions resteraient symboliques. Elles avaient tort : la CNIL a infligé plus de 200 millions d'euros d'amendes entre 2019 et 2025, dont des montants significatifs à des PME. NIS2 suit la même trajectoire, avec un arsenal sanctionnateur encore plus musclé et une nouveauté qui n'existait pas dans le RGPD : la responsabilité personnelle des dirigeants.

La directive NIS2 (2022/2555) est en cours de transposition en droit français. L'ANSSI, qui en sera l'autorité de contrôle principale, a déjà indiqué publiquement que les premiers contrôles débuteraient dès le second semestre 2026, en priorité sur les entités essentielles des secteurs critiques (énergie, santé, infrastructures numériques). Les entités importantes — dont relèvent une majorité de PME concernées — seront contrôlées dans la foulée, dès 2027.

Ce qui distingue NIS2 du RGPD sur le plan des sanctions, c'est d'abord le montant des amendes, mais surtout la portée de la responsabilité. Un DPO insuffisamment formé n'engage pas la responsabilité pénale du PDG au titre du RGPD. En revanche, NIS2 prévoit explicitement qu'en cas de manquement grave aux obligations de cybersécurité, les dirigeants personnes physiques peuvent être temporairement interdits d'exercer des fonctions de direction dans toute entité NIS2. Cette sanction accessoire — qui peut paralyser une carrière — est un signal fort que le législateur européen entend faire de la cybersécurité une responsabilité de gouvernance, pas seulement une affaire de DSI.

En tant que DSI externalisé accompagnant des PME en transformation numérique, j'observe que la question des sanctions est souvent le déclencheur d'une prise de conscience au niveau CODIR. Ce guide détaille le régime des sanctions NIS2, les mécanismes de contrôle ANSSI, les premiers cas européens, et surtout les leviers concrets pour réduire son exposition avant les premiers contrôles en France.

Le régime des sanctions NIS2 : montants, catégories et mécanismes

NIS2 distingue deux catégories d'entités soumises à des plafonds d'amendes différents. La logique est proportionnelle : plus une entité est critique pour l'économie et la société, plus son exposition financière en cas de manquement est importante.

Amendes selon la catégorie d'entité

Entités Essentielles (EE)

10 M€

ou 2 % du CA mondial — le plus élevé

Énergie, santé, eau, transports
Infrastructures numériques critiques
250+ salariés ou 50 M€+ de CA
Contrôles ex ante et ex post

Entités Importantes (EI)

7 M€

ou 1,4 % du CA mondial — le plus élevé

Fabrication, alimentation, services postaux
Fournisseurs numériques
50-249 salariés ou 10-49 M€ de CA
Contrôles ex post uniquement

Les infractions sanctionnables

NIS2 identifie plusieurs catégories de manquements susceptibles d'être sanctionnés, classés par gravité :

Manquements de premier niveau (les plus sévèrement sanctionnés)

Absence totale de mesures de gestion des risques cybersécurité
Non-notification d'un incident significatif dans les délais (24h/72h/1 mois)
Non-enregistrement auprès de l'ANSSI
Refus de coopération lors d'un contrôle ANSSI
Récidive après mise en demeure

Manquements de second niveau (procédure graduelle)

Mesures de sécurité incomplètes ou non maintenues
Formation des dirigeants insuffisante
Documentation de conformité absente ou lacunaire
Absence de gestion sécurité de la chaîne d'approvisionnement

Les sanctions accessoires

Au-delà des amendes, NIS2 prévoit un arsenal de sanctions accessoires potentiellement très dissuasives :

Publication des décisions

L'ANSSI peut ordonner la publication publique de la décision de sanction, avec mention de l'entité concernée et de la nature du manquement. Impact direct sur la réputation commerciale.

Injonction sous astreinte

Obligation de mise en conformité dans un délai donné, avec astreinte journalière en cas de non-respect. L'astreinte peut atteindre plusieurs milliers d'euros par jour.

Interdiction d'exercer

Les dirigeants personnes physiques (PDG, DG, membres du CA) peuvent être temporairement interdits d'exercer des fonctions de direction dans toute entité NIS2.

Suspension de certification

Pour les entités certifiées SecNumCloud ou ISO 27001, la non-conformité NIS2 peut déclencher une suspension de certification, avec impact direct sur les marchés publics et les contrats clients.

La responsabilité personnelle des dirigeants : la grande nouveauté NIS2

L'article 20 de la directive NIS2 est sans précédent dans le droit européen de la cybersécurité. Il impose aux États membres de garantir que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, suivent une formation spécifique, et peuvent être tenus personnellement responsables en cas de manquement.

Ce que dit l'article 20 de NIS2

"Les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité [...] Les organes de direction peuvent être tenus responsables des violations commises par les entités essentielles et importantes."

— Directive NIS2 (2022/2555), Article 20, paragraphes 1 et 4

Qui est concerné par la responsabilité personnelle ?

PDG

Président-Directeur Général / Directeur Général

Responsable de l'approbation de la politique de sécurité et des mesures de gestion des risques. Doit avoir suivi une formation aux risques cyber et en matière de cybersécurité. En cas de récidive ou de refus délibéré de conformité, peut être interdit temporairement d'exercer des fonctions de direction dans toute entité NIS2 — en France ou dans l'UE.

CA

Membres du Conseil d'Administration

Le CA dans son ensemble est responsable de l'approbation des mesures NIS2. Un administrateur qui aurait voté contre la mise en conformité ou qui n'aurait pas exercé sa vigilance sur ce sujet peut voir sa responsabilité engagée si un incident significatif survient en raison de lacunes connues.

DSI

DSI / RSSI

Le DSI et le RSSI ne sont pas visés par la responsabilité personnelle au sens de l'article 20, mais leur responsabilité professionnelle peut être engagée en cas de faute caractérisée. C'est pour cela que la documentation des alertes envoyées à la direction et des recommandations non suivies prend une importance capitale.

Les trois situations à risque pour les dirigeants

1.

Refus délibéré de mettre en œuvre les mesures NIS2

Situation la plus risquée : un RSSI qui a présenté un plan de conformité chiffré, des recommandations documentées refusées par la direction, un incident qui survient ensuite. La traçabilité des décisions de gestion devient une preuve à charge.

2.

Non-notification d'un incident significatif

Si un incident a été détecté en interne et que la décision de ne pas notifier l'ANSSI dans les 24h a été prise au niveau du CODIR ou du PDG, la responsabilité personnelle peut être directement engagée pour cette décision de gestion spécifique.

3.

Récidive après mise en demeure ANSSI

Une entreprise qui a reçu une mise en demeure de l'ANSSI et qui ne remédie pas aux lacunes constatées dans le délai imparti expose directement ses dirigeants à la sanction d'interdiction d'exercer.

Recommandation pratique

La meilleure protection des dirigeants face à la responsabilité personnelle NIS2 est la documentation systématique : procès-verbaux de CA approuvant la politique de sécurité, attestations de formation, rapports d'audit signés, plans d'action chiffrés et priorisés. Un dirigeant qui peut démontrer qu'il a pris les décisions en connaissance de cause et avec diligence raisonnable bénéficiera d'une appréciation beaucoup plus favorable de l'autorité de contrôle.

Comment se déroule un contrôle ANSSI : les 4 phases

Contrairement à ce que craignent parfois les dirigeants, un contrôle ANSSI n'est pas une descente de police. La procédure est structurée, progressive, et la majeure partie des contrôles se concluent sans sanction lorsque l'entité fait preuve de bonne foi et d'engagement dans la démarche de conformité.

1

Contrôle documentaire (phase initiale)

L'ANSSI adresse un questionnaire de conformité et demande des preuves documentaires : politique de sécurité (PSSI), analyse de risques, registre des incidents, contrats fournisseurs avec clauses de sécurité, attestations de formation des dirigeants. Cette phase peut se dérouler entièrement à distance. Le délai de réponse est généralement de 4 à 6 semaines.

2

Audit sur place (si nécessaire)

Pour les entités essentielles ou en cas de doute sur les documents fournis, l'ANSSI (ou un PAMS agréé mandaté par elle) peut effectuer une inspection sur site. Les auditeurs rencontrent le RSSI, la direction, et peuvent accéder aux systèmes pour vérifier l'implémentation effective des mesures déclarées. Un écart entre les documents et la réalité terrain est considéré comme une faute aggravante.

3

Mise en demeure (si non-conformité)

Si des manquements sont constatés, l'ANSSI adresse une mise en demeure détaillant les lacunes, les mesures correctives attendues et le délai de remediation (généralement 1 à 3 mois). L'entité peut présenter des observations et proposer un plan d'action alternatif. Cette phase est l'opportunité de montrer sa bonne foi et d'éviter la sanction.

4

Sanction (en cas de persistance)

Si la mise en demeure reste sans effet ou si le manquement est qualifié de grave (non-notification d'incident, refus de coopération), l'ANSSI peut alors prononcer une sanction financière et/ou accessoire. La décision est susceptible de recours devant le Conseil d'État. En pratique, moins de 5 % des contrôles aboutissent à une sanction financière dans les autres États membres où NIS1 était déjà en place.

Point clé : la politique de sanction de l'ANSSI

L'ANSSI a clairement indiqué dans ses communications publiques que son objectif premier est d'amener les entités à la conformité, pas de les sanctionner financièrement. Les entités qui s'enregistrent volontairement, qui réalisent des audits internes et qui présentent des plans d'action crédibles bénéficient d'un traitement nettement plus favorable que celles qui ignorent leurs obligations ou résistent aux contrôles.

Premiers cas européens : les leçons des pays précurseurs

Plusieurs pays de l'UE ont transposé et appliqué NIS2 avant la France : Allemagne (BSI), Pays-Bas (NCSC-NL) et Belgique (CCN) ont commencé les contrôles dès début 2025. Les premiers cas documentés sont instructifs sur ce que les autorités sanctionnent réellement.

2.4 M€

Amende infligée par le BSI (Allemagne) à un opérateur de services essentiels pour non-notification d'incident

78%

Des premières sanctions en Europe concernaient la non-notification d'incident (source : ENISA 2025)

3 mois

Délai moyen entre détection d'une non-conformité et première sanction en Belgique (CCN 2025)

Les enseignements pratiques

La non-notification est l'infraction numéro un. Dans 78 % des cas sanctionnés, le manquement principal était l'absence ou le retard de notification d'incident. Les autorités européennes considèrent systématiquement cette infraction comme délibérée, car une entreprise qui détecte un incident et choisit de ne pas notifier prend une décision consciente.

La bonne foi réduit significativement les amendes. En Belgique, le CCN a appliqué une réduction systématique des amendes (jusqu'à 60 %) pour les entités qui avaient réalisé un audit interne, même incomplet, et qui s'étaient enregistrées volontairement. La démarche proactive est le facteur atténuant le plus puissant.

Les PME sous-traitantes sont dans le viseur indirect. Aux Pays-Bas, plusieurs grandes entreprises essentielles ont reçu des mises en demeure non pas pour leurs propres lacunes, mais pour n'avoir pas imposé de garanties de sécurité à leurs sous-traitants IT. En réponse, elles ont massivement résilié ou renégocié leurs contrats avec des PME fournisseurs non conformes.

La responsabilité personnelle a déjà été appliquée. En Allemagne, le BSI a prononcé deux interdictions temporaires d'exercer à l'encontre de dirigeants d'opérateurs d'énergie régionaux après des incidents non notifiés et des récidives de non-conformité. Ces précédents ont envoyé un signal fort au marché et déclenché une vague de mise à l'agenda des CODIR sur le sujet NIS2.

5 leviers concrets pour réduire votre exposition aux sanctions NIS2

La réduction de l'exposition aux sanctions n'est pas uniquement une question de mise en conformité technique. C'est aussi une question de posture, de documentation et de relation avec l'autorité de contrôle. Voici les cinq leviers les plus efficaces, issus des retours d'expérience européens.

1

S'enregistrer auprès de l'ANSSI sans attendre

L'enregistrement sur le portail ANSSI est obligatoire et constitue la première preuve documentaire de votre bonne foi. Les entités qui ne se sont pas enregistrées six mois après l'entrée en application ne peuvent pas ensuite invoquer l'ignorance. L'enregistrement volontaire et anticipé est le facteur atténuant le plus simple à obtenir — il suffit de remplir un formulaire en ligne.

Profitez de cette étape pour vérifier précisément votre catégorie (EE ou EI) et les obligations spécifiques qui en découlent, notamment en termes de fréquence des contrôles et de niveau d'exigence des mesures de sécurité détaillées dans notre article sur les 10 mesures de cybersécurité obligatoires NIS2.

2

Mettre en place la notification d'incident en priorité absolue

Compte tenu du fait que la non-notification représente 78 % des sanctions européennes, c'est la priorité numéro un. La procédure de notification est relativement simple à mettre en place (une page de procédure, un responsable désigné, un modèle de rapport), mais elle doit être testée avant tout incident réel.

Les trois délais à respecter impérativement :

24h

Alerte initiale ANSSI (détection de l'incident)

72h

Rapport d'incident initial (nature, ampleur, impact)

1 mois

Rapport final (analyse, mesures correctives)

3

Réaliser un audit de conformité documenté par un PAMS

Un rapport d'audit réalisé par un prestataire PAMS (Prestataires d'Audit de la Sécurité des Systèmes d'Information) agréé ANSSI est le document le plus efficace pour démontrer votre démarche. Il présente deux avantages cumulatifs : il identifie les lacunes à corriger, et il constitue une preuve de bonne foi incontestable en cas de contrôle.

La liste des PAMS agréés est disponible sur le site de l'ANSSI. Pour les PME, un diagnostic de niveau 1 (environ 5 000 à 15 000 euros selon la taille) est souvent suffisant pour obtenir une image fidèle de votre niveau de conformité et un plan d'action priorisé.

4

Former et documenter l'implication des dirigeants

NIS2 impose explicitement la formation des organes de direction. Cette obligation, si elle peut paraître contraignante, est en réalité une protection pour les dirigeants eux-mêmes. Un PDG qui peut présenter une attestation de formation NIS2, un procès-verbal de CA approuvant la politique de sécurité, et un relevé de décisions montrant qu'il a suivi les recommandations du RSSI, a considérablement réduit son exposition à la responsabilité personnelle.

Pour les PME qui ne disposent pas d'un RSSI interne, faire appel à un DSI externalisé permet d'assurer à la fois la mise en conformité technique et la documentation de gouvernance nécessaire à la protection des dirigeants.

5

Sécuriser votre chaîne d'approvisionnement pour protéger vos clients

Si vous êtes sous-traitant d'entités NIS2, votre non-conformité peut directement exposer votre client à une sanction — et mettre fin à votre relation commerciale. À l'inverse, si vous êtes une entité NIS2 qui ne contrôle pas la sécurité de ses fournisseurs, vous portez la responsabilité de leurs manquements.

Intégrez systématiquement des clauses de sécurité dans vos contrats fournisseurs : obligation de notification d'incident dans les 24h, droit d'audit, certification ou autoévaluation annuelle. Un questionnaire de sécurité simple (15-20 questions) envoyé à vos fournisseurs critiques est une mesure facile à mettre en place et très bien vue des contrôleurs ANSSI.

Questions fréquentes sur les sanctions NIS2

Mon assurance cyber couvre-t-elle les amendes NIS2 ?

Non. Les amendes administratives — comme celles prononcées par l'ANSSI au titre de NIS2 — sont expressément exclues des polices d'assurance cyber en France et dans l'UE, car elles ont un caractère punitif. En revanche, les coûts de mise en conformité (audit, conseil, remédiation) ainsi que les dommages résultant d'un incident (interruption d'activité, frais de notification, responsabilité civile) peuvent être couverts selon les garanties souscrites. Vérifiez impérativement votre contrat d'assurance cyber à l'aune de NIS2.

Peut-on négocier le montant d'une amende NIS2 avec l'ANSSI ?

La procédure n'est pas une négociation au sens strict, mais l'ANSSI dispose d'un large pouvoir d'appréciation sur le montant de la sanction, en fonction de critères légaux incluant : la gravité du manquement, la durée, le nombre de personnes affectées, les dommages causés, le caractère délibéré ou non, et les mesures prises pour remédier au manquement. Présenter un plan d'action crédible et avancé avant la décision de sanction peut substantiellement réduire le montant. L'entité peut également contester la décision devant le Conseil d'État.

Les sanctions NIS2 et RGPD peuvent-elles se cumuler ?

Oui. NIS2 et RGPD sont deux réglementations distinctes avec des autorités distinctes (ANSSI pour NIS2, CNIL pour le RGPD). Un incident cyber impliquant une violation de données personnelles peut donc déclencher simultanément une procédure ANSSI (manquements NIS2) et une procédure CNIL (violation RGPD). Les amendes sont indépendantes et cumulatives. La bonne nouvelle : les mesures de conformité ont un fort recoupement entre les deux réglementations, et un programme de conformité NIS2 bien conduit réduit mécaniquement les risques RGPD.

Évaluez votre exposition aux sanctions NIS2

Un diagnostic NIS2 en 2-3 semaines identifie vos lacunes prioritaires, votre niveau de risque de sanction et un plan d'action chiffré — incluant la protection de votre responsabilité personnelle de dirigeant.

Voir notre offre cybersécurité NIS2