Les sanctions prévues par la directive NIS 2 atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une entité essentielle. Elles ne se limitent pas à l’amende : pour les entités essentielles, la directive NIS 2 autorise la suspension temporaire de certaines autorisations d’exploitation et l’interdiction temporaire d’exercer pour les dirigeants. C’est cette dimension personnelle qui distingue NIS 2 des réglementations de cybersécurité antérieures.
Quelles sont les sanctions financières prévues par NIS 2 ?
La directive NIS 2 fixe deux barèmes, appliqués selon la catégorie de l’entité. Dans les deux cas, le montant retenu est le plus élevé des deux termes.
| Critère | Entité essentielle | Entité importante |
| Plafond fixe | 10 millions d’euros | 7 millions d’euros |
| Plafond proportionnel | 2 % du chiffre d’affaires mondial annuel | 1,4 % du chiffre d’affaires mondial annuel |
| Règle appliquée | Le montant le plus élevé des deux | Le montant le plus élevé des deux |
Le mécanisme du montant le plus élevé change la nature du risque pour les grandes structures. Pour un groupe réalisant 800 millions d’euros de chiffre d’affaires et classé entité essentielle, le plafond applicable n’est pas de 10 millions d’euros mais de 16 millions. À l’inverse, pour une ETI de 40 millions d’euros de chiffre d’affaires, c’est le plafond fixe qui s’applique.
Ces barèmes constituent des plafonds minimaux que les États membres doivent au moins prévoir, non des montants automatiques. Les autorités nationales modulent la sanction selon la gravité du manquement, sa durée, son caractère intentionnel ou négligent, et les mesures correctives engagées.
Les dirigeants peuvent-ils être tenus personnellement responsables ?
Oui, mais le régime diffère selon la catégorie. L’obligation d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et de se former pèse sur les organes de direction des entités essentielles comme des entités importantes. En revanche, les deux mesures les plus lourdes — la suspension d’une certification ou d’une autorisation d’exploitation, et l’interdiction temporaire d’exercer des fonctions de direction — sont réservées aux entités essentielles. Elles visent les personnes exerçant des responsabilités au niveau de directeur général ou de représentant légal, et ne s’appliquent pas aux entités de l’administration publique.
Cette responsabilité s’accompagne de trois obligations concrètes :
- Approuver la politique de sécurité des systèmes d’information. Le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026 en version de travail, prévoit que le dirigeant exécutif approuve cette politique et qu’elle soit revue au minimum une fois par an.
- Superviser la mise en œuvre. L’approbation formelle ne suffit pas : le dirigeant exécutif est responsable du suivi de la conformité des systèmes d’information de son entité.
- Se former. La directive NIS 2 prévoit que les membres de la direction suivent régulièrement des formations, afin d’être en mesure d’apprécier les risques et d’évaluer les pratiques de gestion mises en place.
Le Référentiel Cyber France ajoute une exigence propre aux entités essentielles : la désignation d’au moins une personne chargée de conseiller le dirigeant en matière de sécurité numérique, qui devient le point de contact privilégié de l’ANSSI.
Cette architecture produit un effet documentaire direct. La preuve d’approbation par la direction, la trace des revues annuelles et les attestations de formation deviennent des éléments opposables lors d’un contrôle. Une politique de sécurité excellente mais non approuvée formellement place le dirigeant en défaut.
Comment l’ANSSI contrôle-t-elle la conformité NIS 2 ?
La directive NIS 2 instaure deux régimes de supervision distincts. Les entités essentielles relèvent d’un contrôle proactif, que l’autorité compétente peut déclencher à tout moment, même en l’absence d’incident. Les entités importantes relèvent d’un contrôle réactif, déclenché par un incident ou par un indice de non-conformité. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) exerce ce rôle d’autorité nationale compétente.
Quatre pouvoirs lui sont ouverts :
- Audits de sécurité — planifiés ou inopinés, pour évaluer les mesures effectivement mises en œuvre.
- Inspections sur site ou à distance — pour collecter des éléments de conformité ou constater un manquement.
- Demandes de preuves — transmission de documents, de journaux d’événements ou de rapports d’incidents.
- Mesures coercitives — suspension temporaire d’une certification ou d’une autorisation d’exploitation, voire suspension des fonctions de direction, pour les seules entités essentielles.
La conséquence pratique de cette différenciation : une entité essentielle doit être en mesure de démontrer sa conformité en permanence, sans préavis. Le statut, déterminé par le secteur et la taille, conditionne donc le rythme de la démarche. Voir notre article sur le statut d’entité essentielle.
Existe-t-il une période de tolérance avant les premières sanctions ?
Une phase de tolérance d’environ trois ans est prévue, pendant laquelle l’accent sera mis sur l’accompagnement plutôt que sur la sanction. Les travaux parlementaires évoquent un moratoire de trois ans après promulgation avant la mise en œuvre des sanctions financières, l’objectif étant de laisser aux entités le temps de se mettre en conformité.
Un point de méthode s’impose sur le décompte de ce délai. Il court à partir de l’entrée en vigueur du dispositif français, non de celle de la directive européenne en 2023. Or la loi de transposition n’est pas promulguée : le projet de loi Résilience, adopté par le Sénat en mars 2025 puis en commission à l’Assemblée nationale en septembre 2025, n’a pas encore été examiné en séance publique.
À retenir
La fenêtre de mise en conformité ne s’est pas refermée. Elle n’a pas encore commencé à courir. Cette situation offre une marge de manœuvre réelle, à condition de ne pas la confondre avec un report indéfini : les décrets d’application suivront la promulgation, et les donneurs d’ordre régulés répercutent déjà leurs exigences par voie contractuelle, sans attendre le Journal officiel.
Que faut-il pouvoir présenter en cas de contrôle ?
Un contrôle NIS 2 ne porte pas sur des déclarations mais sur des éléments matériels. Trois natures de preuve sont attendues.
La première est organisationnelle : politique de sécurité approuvée et datée, plan d’action assorti d’échéances et de responsables identifiés, justification des exclusions de périmètre.
La deuxième est technique : journalisation des événements, traçabilité des actions d’administration, relevés d’incidents, données de supervision conservées selon les durées attendues.
La troisième est probatoire au sens strict : comptes rendus de tests de restauration, comptes rendus d’exercices de crise, rapports d’audit. Ce sont ces documents qui démontrent qu’un dispositif existe et fonctionne, et non seulement qu’il a été acheté.
L’exigence de traçabilité produit un effet secondaire souvent sous-estimé : elle transforme la conformité en un travail de documentation continue, qui suppose un référentiel unique, versionné et horodaté.
PARTITIO, opérateur de cloud souverain et infogéreur certifié ISO 27001 et HDS, accompagne ses clients sur la production de ces preuves techniques : comptes rendus de tests de restauration, rapports de supervision, journaux d’administration. Un dispositif de sécurité qui ne produit pas de preuve exploitable expose l’organisation autant qu’une absence de dispositif.
Pour le cadre général de la réglementation, ses obligations et son calendrier, voir notre article sur les obligations de la directive NIS 2.
Questions fréquentes
Quel est le montant maximal d'une amende NIS 2 ?
La directive NIS 2 fixe le plafond à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une entité essentielle, et à 7 millions d’euros ou 1,4 % pour une entité importante. Dans les deux cas, c’est le montant le plus élevé qui s’applique. Pour un groupe réalisant plusieurs centaines de millions d’euros de chiffre d’affaires, le plafond proportionnel dépasse donc largement le plafond fixe.
Un dirigeant peut-il être sanctionné personnellement au titre de NIS 2 ?
La directive NIS 2 prévoit que les membres des organes de direction des entités essentielles et importantes approuvent les mesures de cybersécurité et en supervisent la mise en œuvre. L’interdiction temporaire d’exercer des fonctions de direction est en revanche réservée aux entités essentielles, et ne s’applique pas aux entités de l’administration publique. Cette responsabilité personnelle constitue l’une des principales nouveautés par rapport à la directive précédente.
Qui contrôle l'application de NIS 2 en France ?
L’ANSSI est l’autorité nationale compétente pour la directive NIS 2 en France. Elle dispose de pouvoirs d’audit planifié ou inopiné, d’inspection sur site ou à distance, de demande de preuves documentaires, et de mesures coercitives pouvant aller jusqu’à la suspension d’une autorisation d’exploitation ou des fonctions de direction pour une entité essentielle.
Les sanctions NIS 2 s'appliquent-elles déjà en France ?
Non. La directive NIS 2 est en vigueur au niveau européen, mais sa transposition française n’est pas achevée : la loi n’est pas promulguée et les décrets d’application ne sont pas publiés. Les sanctions ne deviendront applicables qu’à l’issue de ce processus, puis d’une phase de tolérance d’environ trois ans, décomptée à partir de l’entrée en vigueur du dispositif national.
Quelle différence de sanction entre entité essentielle et entité importante ?
Le plafond passe de 10 millions d’euros ou 2 % du chiffre d’affaires pour une entité essentielle à 7 millions d’euros ou 1,4 % pour une entité importante. Le mode de contrôle diffère également : les entités essentielles font l’objet d’une supervision proactive exercée à tout moment, tandis que les entités importantes sont contrôlées a posteriori. Les mesures visant personnellement les dirigeants ne concernent que les entités essentielles.
Barème et pouvoirs de contrôle
Le livre blanc NIS 2 de PARTITIO détaille les 18 secteurs couverts, sous-secteur par sous-secteur, ainsi que les critères de classement en entité essentielle ou importante.
