Sanctions NIS2 : 10 M€ ou 2 % pour les entités essentielles, 7 M€ ou 1,4 % pour les importantes, et responsabilité des dirigeants

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Test NIS2

La directive NIS2 impose aux États membres des sanctions effectives, proportionnées et dissuasives, avec des plafonds minimaux : 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes (article 34). S'y ajoutent des mesures coercitives (injonctions, audits, suspension de certification) et une responsabilité des dirigeants pouvant aller jusqu'à une interdiction temporaire d'exercer. En France, la loi de transposition fixera les montants ; vérifiez votre catégorie avec le test NIS2.

Les amendes administratives

Ces montants sont des plafonds que les États membres doivent au moins prévoir ; la loi nationale peut les fixer plus haut. L'amende sanctionne les manquements aux mesures de gestion des risques (article 21) et aux obligations de notification (article 23). Les administrations publiques peuvent être exemptées d'amendes par le droit national.

Les mesures coercitives et de supervision

Avant ou en plus de l'amende, les autorités disposent d'un éventail de mesures (articles 32 et 33) : avertissements, instructions contraignantes de remédier aux manquements dans un délai, ordre de cesser un comportement, ordre de mettre en œuvre les recommandations d'un audit, ordre d'informer les personnes affectées, désignation d'un responsable du contrôle, publication du manquement. Pour les entités essentielles, si ces mesures restent sans effet, l'autorité peut demander la suspension temporaire d'une certification ou d'une autorisation, et l'interdiction temporaire, pour toute personne physique exerçant des responsabilités de direction, d'exercer ces fonctions.

La responsabilité des dirigeants

L'article 20 rend les organes de direction responsables de l'approbation et de la supervision des mesures de sécurité, et prévoit qu'ils puissent être tenus responsables des violations. Concrètement, un dirigeant qui n'a pas approuvé de politique de sécurité, n'a pas suivi de formation et n'a pas alloué de moyens s'expose, en cas d'incident, à voir sa responsabilité recherchée en plus de celle de l'entité. C'est le changement le plus commenté de NIS2 par rapport à la première directive.

Cas concrets d'exposition

Entité essentielle de 400 salariés, 80 M€ de CA, sans notification d'un incident important dans les 72 h. Plafond : 10 M€ (supérieur à 2 % de 80 M€). L'autorité commencera vraisemblablement par des injonctions, mais la récidive ou la gravité peuvent conduire à l'amende.

Entité importante de 60 salariés, 15 M€ de CA, sans mesures de l'article 21. Plafond : 7 M€ (supérieur à 1,4 % de 15 M€). La supervision est ex post : le contrôle intervient sur indice, typiquement après un incident.

Hôpital public. Le droit national peut exempter les administrations d'amendes ; les mesures coercitives et la publicité du manquement s'appliquent.

Articulation avec les autres régimes

Une même violation peut relever du RGPD (données personnelles) et de NIS2 ; la directive prévoit que l'amende NIS2 n'est pas infligée si une amende RGPD a déjà sanctionné la même violation (article 35). Le secteur financier relève de DORA, régime au moins équivalent, et NIS2 s'efface. Pour les produits connectés, le Cyber Resilience Act a son propre régime de sanctions.

Réduire l'exposition

Comment les autorités graduent-elles la sanction ?

L'article 34 §2 impose que les amendes soient effectives, proportionnées et dissuasives, en tenant compte des circonstances : gravité et durée de la violation, caractère intentionnel ou négligent, mesures prises pour prévenir ou atténuer le dommage, violations antérieures, coopération avec l'autorité, et, pour les entités essentielles, résultats des audits. En pratique, une entité qui a documenté ses mesures, notifié dans les délais et coopéré s'expose à des injonctions ; une entité qui a ignoré ses obligations et dissimulé un incident s'expose à l'amende maximale.

L'obligation de notification, premier motif de sanction

Les délais de 24 heures et de 72 heures sont courts ; une organisation qui n'a pas de procédure d'astreinte, de qualification de l'incident et de contact identifié à l'ANSSI les manquera. C'est le manquement le plus facile à constater pour l'autorité, puisque la date de l'incident et la date de la notification sont documentées. Tester la procédure une fois par an sur un exercice, avec la direction, est la mesure la plus rentable contre ce risque.

Et la réputation ?

La publication des manquements (article 32 §4) et l'obligation d'informer les destinataires des services affectés font partie des mesures prévues. Pour un prestataire de services numériques ou un établissement de santé, la perte de confiance des clients et des patients pèse souvent plus que l'amende. La conformité NIS2 devient un argument commercial dans les appels d'offres, où les donneurs d'ordre concernés exigent des garanties de leurs fournisseurs.

Trois priorités : documenter (politique de sécurité approuvée par la direction, analyse de risques, plan d'action), tester la procédure de notification à 24 h et 72 h sur un exercice, et sécuriser la chaîne d'approvisionnement par des clauses avec les prestataires informatiques. Le référentiel ReCyF de l'ANSSI sert de grille. Le guide obligations et notification détaille les mesures ; la transposition française suit l'adoption de la loi qui fixera les montants applicables en France.