Quelles sont les sanctions et amendes en cas de non-conformité à la directive NIS 2 ?

La directive NIS 2NIS 2Directive européenne 2022/2555 sur la cybersécurité. devait être transposée par les États membres au plus tard le 17 octobre 2024. Elle les oblige à prévoir des amendes dont le plafond atteint au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et au moins 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. En France, la loi de transposition n'est pas encore définitivement adoptée, et le projet de loi confie la supervision à l'ANSSI. Comment votre entreprise peut-elle se préparer ?

Partie 1 : Qui prononce les sanctions et amendes pour non-respect de la directive NIS 2 ?

La directive NIS 2 (directive (UE) 2022/2555 du 14 décembre 2022) impose des obligations de cybersécurité aux entités essentielles et aux entités importantes. Ces deux catégories remplacent les opérateurs de services essentiels (OSE) et les fournisseurs de service numérique (FSN) de la première directive NIS.

La mise en œuvre et l'application des sanctions et amendes pour non-respect de la directive NIS 2 relèvent des autorités compétentes de chaque État membre de l'Union européenne.

Autorités nationales compétentes

Chaque État membre désigne une ou plusieurs autorités compétentes chargées de la cybersécurité et de la supervision des entités concernées (article 8 de la directive).

Ces autorités peuvent notamment :

• Contrôler les entités concernées : inspections sur place, contrôles à distance, audits de sécurité.
• Adopter des mesures d'exécution : avertissements, instructions contraignantes, injonctions de mise en conformité.
• Imposer des amendes administratives, ou demander à l'organe compétent de les prononcer.

Sanctions et pénalités prévues par la directive NIS 2

La directive fixe un socle commun. Chaque État membre définit ensuite son propre régime de sanctions dans sa loi nationale (article 36). Ce socle comprend :

• Des amendes administratives dont le plafond se calcule en montant fixe ou en pourcentage du chiffre d'affaires annuel mondial de l'entreprise, le plus élevé des deux étant retenu (article 34).
• Des injonctions de mise en conformité dans un délai déterminé, que les États peuvent assortir d'astreintes.
• Pour les entités essentielles, lorsque ces injonctions restent sans effet, la suspension temporaire d'une certification ou d'une autorisation portant sur tout ou partie de leurs services ou activités (article 32, paragraphe 5).

Coordination au niveau de l'UE

L'Agence de l'Union européenne pour la cybersécurité (ENISA) soutient la coopération entre États membres : elle assure le secrétariat du réseau des CSIRT nationaux et participe au groupe de coopération NIS, qui réunit les États membres et la Commission européenne. Elle ne prononce pas de sanctions.

En résumé, ce sont les autorités compétentes désignées par chaque État membre qui prononcent les sanctions et amendes pour non-respect de NIS 2. Les modalités précises varient d'un pays à l'autre, mais les plafonds d'amende fixés par chaque État ne peuvent pas être inférieurs à ceux de la directive.

Partie 2 : Quel organisme prononcera les sanctions et amendes NIS 2 en France ?

En France, la directive est transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi les directives REC et DORA. Le Sénat l'a adopté en première lecture le 12 mars 2025, puis une commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025. Au 13 octobre 2026, date de mise à jour de cet article, la loi n'est ni définitivement adoptée ni promulguée, et des décrets d'application devront suivre. Les éléments ci-dessous s'appuient sur le texte adopté par le Sénat : ils peuvent encore évoluer.

ANSSI (Agence nationale de la sécurité des systèmes d'information)

• Rôle

L'ANSSI est l'autorité nationale en matière de sécurité des systèmes d'information. Le projet de loi la charge de superviser les entités essentielles et importantes.

• Missions

Elle contrôle les entités concernées. En cas de manquement, elle peut prononcer un avertissement ou leur enjoindre de se mettre en conformité dans un délai qu'elle fixe, le cas échéant sous astreinte. Lorsqu'un manquement justifie une amende, elle saisit la commission des sanctions.

Sanctions et amendes NIS 2 en France

• Amendes financières

Dans le texte adopté par le Sénat, les amendes sont prononcées par une commission des sanctions placée auprès du Premier ministre, saisie par l'ANSSI. Leurs plafonds reprennent ceux de la directive : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial hors taxes pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les administrations de l'État, les collectivités territoriales et leurs établissements publics administratifs sont exclus de ces amendes.

• Injonctions

L'ANSSI peut enjoindre à une entité de se mettre en conformité, de prendre les mesures nécessaires pour éviter un incident ou y remédier, ou d'appliquer les recommandations d'un audit de sécurité, dans un délai qu'elle fixe. Ces injonctions peuvent être assorties d'une astreinte par jour de retard.

• Autres sanctions

Le texte prévoit aussi la publication de la décision de sanction, l'obligation pour l'entité d'informer le public du manquement et, pour les entités essentielles, la suspension d'une certification ou d'une autorisation. En dernier recours, si le manquement persiste après une amende, la commission des sanctions peut interdire à un dirigeant d'une entité essentielle d'exercer des responsabilités dirigeantes dans cette entité, jusqu'à ce que le manquement soit corrigé.

Coordination avec d'autres autorités

• CNIL

Lorsqu'un manquement à NIS 2 peut aussi entraîner une violation de données personnelles, l'autorité compétente en informe l'autorité de protection des données, en France la Commission nationale de l'informatique et des libertés (CNIL), selon l'article 35 de la directive. Si la CNIL inflige une amende au titre du RGPDRGPDRèglement européen 2016/679, applicable depuis le 25 mai 2018. pour les mêmes faits, aucune amende NIS 2 ne peut s'y ajouter, même si d'autres mesures restent possibles.

• Autres autorités

La directive prévoit aussi une coopération avec les autorités chargées du règlement DORA pour le secteur financier, et avec celles qui supervisent les entités critiques au titre de la directive REC (article 32, paragraphes 9 et 10).

En résumé, en France, l'ANSSI supervisera les entités et adoptera les mesures d'exécution, tandis que les amendes relèveront d'une commission des sanctions, si le texte définitif conserve ce schéma. Les sanctions peuvent inclure des amendes financières significatives, des injonctions de mise en conformité et d'autres mesures correctives.

Partie 3 : Quelles sont les responsabilités des dirigeants ?

Dans le cadre de la directive NIS 2, les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques en matière de cybersécurité, superviser leur mise en œuvre, et peuvent être tenus responsables en cas de manquement (article 20).

Supervision et gouvernance de la cybersécurité

• Les dirigeants doivent assurer une supervision adéquate des politiques et des mesures de cybersécurité au sein de leur organisation.
• Ils doivent veiller à ce que la cybersécurité soit intégrée dans la stratégie globale de l'entreprise et que des ressources suffisantes soient allouées pour assurer une protection adéquate des systèmes d'information.

Évaluation des risques et gestion des incidents

• Les dirigeants sont responsables de la mise en place de processus permettant d'identifier, d'évaluer et de gérer les risques liés à la sécurité des réseaux et des systèmes d'information.
• Ils doivent s'assurer que des plans de réponse aux incidents sont en place, testés régulièrement et adaptés aux menaces émergentes.

Conformité et obligations légales

• Les dirigeants doivent veiller à ce que leur organisation respecte les exigences de la directive NIS 2 ainsi que les législations nationales en matière de cybersécurité.
• Ils doivent veiller à ce que les audits de conformité soient réalisés régulièrement et que les recommandations soient mises en œuvre.

Sensibilisation et formation

• Les membres des organes de direction doivent eux-mêmes suivre une formation en cybersécurité (article 20, paragraphe 2). La directive encourage aussi les entités à proposer régulièrement une formation similaire à leur personnel.
• Les dirigeants doivent promouvoir une culture de la cybersécurité au sein de l'organisation en sensibilisant les employés à l'importance de la sécurité des informations et en fournissant des formations adaptées.
• Ils doivent encourager la vigilance et la responsabilisation de tous les membres de l'organisation en matière de sécurité.

Communication et coopération

• Les dirigeants doivent s'assurer que leur organisation notifie les incidents importants à l'autorité compétente ou au CSIRT dans les délais prévus : une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification (article 23).
• Ils doivent encourager la coopération et le partage d'informations avec d'autres acteurs du secteur et les autorités nationales pour renforcer la résilience collective contre les cybermenaces.

Documentation et reporting

• Les dirigeants doivent veiller à ce que toutes les mesures de sécurité, les incidents et les réponses apportées soient correctement documentés.
• Ils doivent s'assurer que les rapports nécessaires sont fournis aux autorités compétentes en temps voulu et que les procédures internes de reporting sont rigoureusement suivies.

Responsabilité personnelle

• La directive prévoit que les dirigeants puissent être tenus responsables des manquements à leurs obligations en matière de cybersécurité (articles 20 et 32). Les conséquences concrètes dépendent du droit national et de la gravité des faits.

En résumé, les dirigeants jouent un rôle central dans la mise en œuvre et la supervision des mesures de cybersécurité dans le cadre de la directive NIS 2. Leur responsabilité englobe la gestion stratégique, la conformité légale, la sensibilisation des employés, la communication avec les autorités et la documentation des actions entreprises pour protéger les réseaux et systèmes d'information.

Partie 4 : Que risque-t-on en cas de violations répétées de la directive NIS 2 ?

En cas de violations répétées de la directive NIS 2, l'organisation et ses dirigeants s'exposent à des mesures plus sévères.

• Des sanctions financières plus lourdes

La directive classe les violations répétées parmi les manquements graves. Les autorités en tiennent compte pour choisir les mesures à prendre et pour fixer le montant de l'amende, dans la limite des plafonds prévus (article 32, paragraphe 7, et article 34, paragraphe 3).

• Mesures correctives renforcées

Les autorités peuvent imposer des audits de sécurité ciblés, des instructions contraignantes assorties de délais et l'obligation de rendre compte des mesures prises. Pour une entité essentielle, elles peuvent aussi désigner, pour une période déterminée, un responsable chargé de contrôler le respect de ses obligations.

• Suspension d'une certification ou d'une autorisation

Si une entité essentielle ne corrige pas ses manquements dans le délai fixé, l'autorité peut suspendre temporairement une certification ou une autorisation concernant tout ou partie de ses services ou activités, jusqu'à sa mise en conformité.

• Responsabilité personnelle des dirigeants

Dans les mêmes conditions, l'autorité peut demander l'interdiction temporaire, pour un dirigeant (directeur général ou représentant légal), d'exercer des responsabilités dirigeantes dans l'entité essentielle. Ces deux dernières mesures ne s'appliquent pas aux entités de l'administration publique.

• Publication des sanctions

Les autorités peuvent ordonner à l'organisation de rendre publics certains aspects de ses manquements, ce qui peut porter atteinte à sa réputation et à la confiance de ses clients et partenaires commerciaux.

• Renforcement de la surveillance

Les autorités compétentes peuvent multiplier les inspections sur place, les contrôles à distance et les audits ad hoc, notamment après un incident important ou une violation de la directive.

• Collaboration avec d'autres autorités

Lorsqu'une organisation fournit des services dans plusieurs États membres, les autorités compétentes des pays concernés coopèrent et se prêtent assistance pour coordonner leurs mesures (article 37).

• Obligation de mise en conformité stricte

Les autorités peuvent ordonner une mise en conformité dans un délai déterminé et exiger des comptes rendus réguliers sur les mesures de sécurité mises en place et les actions correctives entreprises.

FAQ : 3 questions sur les sanctions de la directive NIS 2

1. Quelles sont les sanctions potentielles pour non-conformité à la directive NIS 2 ?

La directive impose des plafonds d'amende d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Des avertissements, des injonctions et d'autres mesures d'exécution peuvent également être imposés.

2. Quel rôle joue l'ANSSI dans l'application de la directive NIS 2 en France ?

Dans le projet de loi de transposition, l'ANSSI supervise les entités essentielles et importantes : elle les contrôle, peut leur adresser des avertissements et des injonctions, et saisit une commission des sanctions lorsqu'un manquement justifie une amende.

3. Comment l'ANSSI appliquera-t-elle la directive NIS 2 en France ?

Les obligations s'appliqueront une fois la loi promulguée et ses textes d'application publiés. En attendant, l'ANSSI invite les futures entités essentielles et importantes à s'engager dès maintenant. Elle propose un simulateur pour savoir si votre organisation est concernée, sur MonEspaceNIS2, et a publié le Référentiel Cyber France (ReCyF), un document de travail qui liste des mesures de sécurité recommandées. Les informations à jour sont sur sa page consacrée à NIS 2.