NIS 2 : quelles sanctions en cas de non-respect ?

La cybersécurité change d'échelle avec la directive européenne NIS 2 (Network and Information Systems). Elle élargit le nombre d'organisations concernées et renforce les obligations qui leur sont imposées. Pour celles qui entrent dans le périmètre, la question n'est plus seulement quoi faire, mais aussi ce qui se passe en cas de manquement.

 

Contrôles, injonctions, amendes, responsabilité du management, conséquences sur l'activité… Le dispositif prévu par NIS 2 va bien au-delà d'une simple sanction financière et repose sur une logique progressive, encadrée par le droit européen puis le droit national.

 

Dans cet article, nous faisons le point sur les sanctions prévues par NIS 2, la manière dont elles peuvent être déclenchées et les leviers à activer pour en limiter les risques.

 

Qui contrôle et qui sanctionne dans le cadre de NIS 2 ?

La réponse repose sur un équilibre entre cadre européen et mise en œuvre nationale.

 

Un cadre européen, une application nationale

La directive NIS 2 pose un socle commun de règles en matière de supervision et de sanction à l'échelle de l'Union européenne. Son objectif est clair : renforcer le niveau de cybersécurité des organisations exposées, tout en harmonisant les pratiques entre États membres. Elle définit les principes, les types de contrôles possibles et les plafonds de sanctions, sans entrer dans le détail opérationnel.

 

Mais attention à un point clé : NIS 2 ne prévoit pas de contrôleur unique au niveau européen. La directive laisse à chaque État membre le soin d'organiser concrètement son dispositif. Cela signifie que chaque pays :

• désigne ses autorités compétentes ;
• fixe les modalités de contrôle et de supervision ;
• précise les procédures de sanction dans son droit national.

 

La transposition nationale est déterminante. C'est elle qui permet de savoir qui contrôle, comment, à quel moment et avec quels leviers. Pour les entreprises, comprendre ce cadre local est indispensable pour mesurer les risques réels en cas de non-conformité.

 

En France : rôle de l'autorité nationale compétente (ANSSI)

En France, l'autorité nationale compétente chargée de l'application de NIS 2 est l'ANSSI (l'agence nationale de la sécurité des systèmes d'information).

 

Au cœur du dispositif, l'ANSSI assure :

• la supervision des entités relevant de NIS 2 ;
• la réalisation de contrôles, qu'ils soient proactifs ou déclenchés à la suite d'un incident ou d'un manquement ;
• la mise en œuvre de mesures correctives et, le cas échéant, de sanctions administratives, telles que prévues par le droit français issu de la transposition.

 

Concrètement, ses pouvoirs couvrent un large spectre : demandes d'informations, audits de cybersécurité, inspections sur site ou à distance, suivi des injonctions de mise en conformité. Selon le profil de l'entité, les contrôles peuvent intervenir à tout moment ou être déclenchés par un signal précis.

 

 

Ce qui peut déclencher un contrôle ou une sanction

Un contrôle ou une sanction NIS 2 font le plus souvent suite à un manquement identifié, un signal faible ou un défaut de conformité constaté par l'autorité compétente.

 

Plusieurs situations peuvent ainsi déclencher l'intervention du régulateur :

• Non-mise en place des mesures de gestion des risques cyber, telles que prévues par la directive (mesures techniques, organisationnelles et procédurales) ;
• Gouvernance insuffisante ou inexistante, notamment lorsque les responsabilités ne sont pas clairement définies ou pilotées au niveau de la direction ;
• Défaut de notification d'un incident significatif, ou notification tardive, incomplète ou non conforme aux exigences NIS 2 ;
• Informations incomplètes, inexactes ou absence de coopération avec l'autorité nationale compétente lors d'une demande ou d'un contrôle ;
• Non-respect d'une injonction ou d'un délai de mise en conformité fixé à l'issue d'un premier contrôle.

Dans la pratique, la sanction intervient rarement en première intention. Les contrôles visent d'abord à vérifier la conformité et à corriger les écarts. Ce sont la persistance des manquements, l'absence de réaction ou la gravité des situations qui exposent réellement à des mesures plus contraignantes.

 

 

Contrôles et pouvoirs des autorités avant toute amende

Avant toute sanction financière, la directive NIS 2 prévoit une phase de supervision et de contrôle. L'objectif n'est pas de sanctionner immédiatement, mais de vérifier le niveau de conformité des entités concernées et de corriger les écarts identifiés.

 

Deux régimes de supervision selon le type d'entité

La directive NIS 2 distingue les modalités de contrôle en fonction du degré de criticité des organisations :

• Entités essentielles : elles sont soumises à une supervision proactive et continue. Les autorités peuvent intervenir sans incident préalable, dans une logique de prévention, de suivi régulier et d'anticipation des risques.
• Entités importantes : elles relèvent d'une supervision a posteriori. Les contrôles sont principalement déclenchés à la suite d'un signalement, d'un incident déclaré ou d'un soupçon de non-conformité.

 

Les moyens de contrôle prévus par la directive

La directive NIS 2 encadre les outils de supervision et de contrôle dont disposent les autorités compétentes. Leur objectif n'est pas uniquement de sanctionner, mais avant tout de vérifier la conformité réelle des entités concernées et d'identifier les écarts éventuels.

 

Ces moyens s'appliquent selon des modalités différentes pour les entités essentielles et importantes, mais reposent sur un socle commun.

 

Les autorités peuvent recourir à :

• Des inspections sur site et des contrôles à distance, réalisés par des professionnels formés. Pour les entités essentielles, ces contrôles peuvent être menés de manière proactive, y compris de façon aléatoire ; pour les entités importantes, ils interviennent principalement ex post, sur la base d'indices ou d'éléments concrets.
• Des audits de cybersécurité, réguliers ou ciblés. Les entités essentielles peuvent également faire l'objet d'audits ad hoc, notamment à la suite d'un incident significatif ou d'une violation des obligations prévues par la directive.
• Des scans de sécurité, fondés sur des critères d'évaluation des risques objectifs, proportionnés et transparents, avec la coopération de l'entité lorsque cela est nécessaire.
• Des demandes d'informations et d'accès, portant sur les données, documents et politiques de cybersécurité écrites, afin d'évaluer les mesures de gestion des risques mises en place et le respect des obligations de notification.
• Des demandes de preuves de mise en œuvre, comme les résultats d'audits réalisés par des auditeurs qualifiés et les éléments justificatifs associés.

 

Lorsque ces pouvoirs sont exercés, la directive prévoit que l'autorité compétente précise la finalité de ses demandes et les informations attendues. Une manière de garantir un cadre proportionné, tout en donnant aux autorités les moyens nécessaires pour exercer une supervision effective.

 

Les mesures correctives possibles

Selon la situation, les autorités peuvent :

• Émettre des avertissements formels en cas de violation des obligations prévues par la directive ;
• Adopter des instructions contraignantes ou des injonctions de mise en conformité, en précisant les mesures à appliquer, les délais impartis et les modalités de suivi ;
• Ordonner la correction de failles identifiées, qu'elles soient techniques, organisationnelles ou liées à la gouvernance ;
• Exiger l'application des recommandations issues d'un audit de sécurité, dans un délai raisonnable ;
• Imposer la communication ciblée d'informations, notamment lorsque des personnes physiques ou morales sont susceptibles d'être affectées par une cybermenace importante ;
• Demander la publication de certains manquements, lorsque cela est jugé nécessaire.

 

Si ces mesures s'avèrent insuffisantes ou restent sans effet, la directive prévoit la possibilité de recourir à des mesures plus contraignantes, pouvant aller jusqu'à la suspension temporaire de certaines activités ou à des restrictions visant des fonctions dirigeantes, dans les conditions prévues par le droit national.

 

Dans tous les cas, ces décisions doivent respecter les droits de la défense et tenir compte des circonstances propres à chaque situation.

 

Les amendes prévues par NIS 2

Les amendes sont l'ultime levier du dispositif NIS 2. Elles n'interviennent pas de manière automatique, mais en complément des mesures de contrôle et d'exécution, lorsque les manquements persistent ou présentent un niveau de gravité élevé. La directive encadre leurs montants et les critères d'appréciation.

 

Montants maximaux selon la catégorie d'entité

La directive NIS 2 fixe des plafonds d'amendes élevés, différenciés selon la catégorie de l'entité concernée :

• Entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.
• Entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.

 

Ce mécanisme vise à garantir un effet réellement dissuasif, y compris pour les organisations de grande taille, en évitant que l'amende ne soit perçue comme un simple coût d'exploitation.

Comment l'autorité apprécie le montant

La directive ne prévoit pas de sanction forfaitaire. Le montant de l'amende est apprécié au cas par cas, sur la base de critères précis, afin de respecter un principe de proportionnalité.

 

L'autorité compétente tient notamment compte :

• de la gravité du manquement et de sa durée ;
• du caractère intentionnel ou négligent des faits ;
• des antécédents et d'éventuelles situations de récidive ;
• du niveau de coopération de l'entité avec l'autorité compétente ;
• des mesures déjà mises en place pour prévenir, corriger ou limiter les impacts du manquement.

 

Dirigeants et gouvernance : ce que prévoit réellement la directive NIS 2

Avec NIS 2, la cybersécurité n'est plus seulement une affaire technique. La directive place la gouvernance et le rôle des dirigeants au cœur du dispositif, en renforçant les attentes vis-à-vis du niveau décisionnel.

 

La directive impose une implication directe de la direction dans la politique de cybersécurité de l'organisation. Concrètement, le management doit :

• Valider et superviser les mesures de cybersécurité mises en place pour répondre aux obligations prévues par NIS 2, notamment celles relatives à la gestion des risques et à la notification des incidents ;
• Assurer un pilotage effectif au niveau décisionnel, en intégrant la cybersécurité dans les priorités stratégiques et les processus de gouvernance ;
• Mettre en place une organisation claire, avec des responsabilités identifiées et des mécanismes de suivi adaptés.

 

Il s'agit avant tout d'une responsabilité organisationnelle. La directive ne prévoit pas de sanction pénale automatique à l'encontre des dirigeants. En revanche, elle ouvre la voie à une responsabilisation renforcée du management, dont les modalités concrètes dépendent du droit national issu de la transposition.

 

Sanctions indirectes : les conséquences opérationnelles pour l'entreprise non conforme

Au-delà des sanctions administratives prévues par la directive, le non-respect de NIS 2 peut entraîner des conséquences opérationnelles directes pour l'entreprise concernée. Ces effets ne relèvent pas du cadre juridique stricto sensu, mais de la manière dont les acteurs économiques intègrent désormais la cybersécurité dans leurs relations commerciales.

 

Concrètement, une entreprise soumise à NIS 2 qui ne respecte pas ses obligations peut faire face à :

• une perte de confiance de la part de ses clients ou partenaires, notamment lorsque des manquements sont identifiés lors d'audits ou à la suite d'un incident ;
• un durcissement des exigences contractuelles, avec des clauses de cybersécurité plus strictes ou des contrôles renforcés ;
• des audits de cybersécurité imposés par des clients ou donneurs d'ordre, en réaction à un défaut de conformité ou à une gouvernance jugée insuffisante ;
• un risque de rupture ou de non-renouvellement de contrats, lorsque la non-conformité est perçue comme un risque opérationnel ou réglementaire.

 

Comment limiter le risque de sanction NIS 2

Limiter le risque de sanction repose avant tout sur une approche anticipée et structurée. La directive accorde une place importante aux efforts réels de conformité et à la capacité des entités à démontrer leur démarche.

 

Pour réduire concrètement l'exposition au risque :

• Identifier sa catégorie (entité essentielle ou importante) pour appliquer le bon niveau d'exigence ;
• Structurer la gouvernance, avec des responsabilités claires au niveau décisionnel ;
• Documenter les mesures de cybersécurité, afin de pouvoir les justifier en cas de contrôle ;
• Formaliser les procédures de notification d'incident, pour respecter les obligations de déclaration ;
• Anticiper le recensement et les contrôles, en préparant les informations attendues par l'autorité compétente.

 

Article mis à jour en janvier 2026