Ce que coûte le manquement
Sanctions NIS 2 et responsabilité des dirigeants
La directive ne se contente pas d'un plafond d'amende. Elle engage nommément l'organe de direction et prévoit, pour les entités essentielles, des mesures qui vont jusqu'à l'interdiction temporaire d'exercer des fonctions dirigeantes.
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Les plafonds
Article 34 de la directive. Le montant retenu est le plus élevé des deux — le pourcentage porte sur le chiffre d'affaires mondial total de l'exercice précédent, pas sur le chiffre d'affaires français.
| Catégorie | Amende administrative maximale |
|---|---|
| Entité essentielle | 10 000 000 € ou 2 % du chiffre d'affaires mondial total |
| Entité importante | 7 000 000 € ou 1,4 % du chiffre d'affaires mondial total |
Ce que l'autorité peut exiger avant d'en arriver à l'amende
L'amende est le dernier étage. Les mesures intermédiaires sont plus fréquentes et souvent plus perturbantes pour l'activité.
- Des avertissements et des injonctions de mise en conformité dans un délai fixé.
- L'obligation d'informer vos clients d'une menace importante les concernant.
- La publication des aspects du manquement — la sanction de réputation, souvent la plus coûteuse.
- La désignation d'un contrôleur chargé de suivre la mise en conformité.
- Pour les entités essentielles uniquement : la suspension d'une autorisation, et l'interdiction temporaire faite à un dirigeant d'exercer ses fonctions.
La responsabilité personnelle des dirigeants
L'article 20 charge l'organe de direction d'approuver les mesures de gestion des risques et d'en superviser la mise en œuvre. C'est une rupture avec NIS 1 : la cybersécurité cesse d'être un sujet purement technique délégué à la DSI.
En pratique, cela veut dire qu'une décision de ne pas financer une mesure doit être tracée comme une décision de direction, avec le risque accepté en regard. C'est aussi ce qui rend un rapport d'audit utile : il documente ce qui était connu et à quelle date.
À partir de quand ?
Les sanctions ne pourront être prononcées qu'une fois la loi française de transposition promulguée et ses textes d'application publiés — ce qui n'était pas le cas au 30 août 2026. L'ANSSI a par ailleurs indiqué qu'elle engagerait ses contrôles de conformité à distance de la promulgation, pour laisser aux entités le temps de se mettre en ordre.
Ce délai n'est pas une raison d'attendre : les mesures de l'article 21 se comptent en mois de travail, pas en semaines.
Ce qu'on vous répond avant que vous demandiez.
Une PME peut-elle vraiment prendre 7 millions d'euros d'amende ?
Le plafond est un maximum, pas un tarif. Les sanctions doivent être proportionnées : la taille de l'entité, la gravité du manquement, sa durée et la coopération dont elle a fait preuve entrent en compte. Le risque réel, pour une PME, tient plus à l'injonction de mise en conformité sous délai contraint et à la publication du manquement.
Que se passe-t-il si on ne déclare pas un incident ?
Le défaut de notification est un manquement en soi, indépendamment de l'incident. C'est le point le plus simple à constater pour une autorité, et donc le plus exposé.
Vous voulez savoir où vous en êtes vraiment ?
Trente minutes pour cadrer votre périmètre et vous dire ce qui manque en priorité. Sans engagement, et sans vous vendre un label qui n'existe pas.
Source : directive (UE) 2022/2555, et FAQ de l'ANSSI pour l'avancement de la transposition française. Cette page est informative et ne constitue pas un conseil juridique.