À retenir. La directive NIS 2 fixe aux États membres des exigences de contrôle et des minimums pour les plafonds d’amendes. Elle ne suffit pas à établir qu’une autorité française peut, au 27 septembre 2026, infliger les amendes NIS 2 telles que décrites par un projet de loi. Le dossier parlementaire français reste présenté comme « loi en construction ». Pour évaluer un risque de sanction, distinguez droit français déjà applicable, directive à transposer et mesures du projet qui peuvent encore changer.
Cet article répond à une question pratique de direction : quelles conséquences sont prévues au niveau européen, lesquelles sont effectivement instituées en France et quelles preuves faut-il conserver ? Il ne remplace pas la qualification OIV, OSE, EE ou EI, car le risque dépend d’abord de la bonne catégorie et du bon périmètre.
1. Trois niveaux de texte à ne pas confondre
Premier niveau : la directive (UE) 2022/2555 oblige les États à transposer ses règles. Son échéance européenne était le 17 octobre 2024. Elle énonce les compétences à prévoir pour les autorités et les critères de sanction. Deuxième niveau : le droit français déjà en vigueur, notamment la loi du 26 février 2018 pour les OSE et les obligations LPM des OIV, fondées sur le code de la défense pour les OIV. Troisième niveau : le projet de loi français de transposition, qui ne produit pas, tant qu’il n’est pas promulgué et entré en vigueur, les nouvelles sanctions qu’il envisage.
La loi du « 30 avril 2024 » citée par de vieux articles comme transposition française NIS 2 n’est pas le texte recherché. Le projet relatif à la résilience des infrastructures critiques a été adopté par le Sénat en mars 2025 ; le texte de commission à l’Assemblée date de septembre 2025. Les pages officielles consultées ne montrent pas une loi de transposition définitive au 27 septembre 2026. L’ANSSI présente toujours ReCyF comme un document de travail.
2. Ce que la directive exige des autorités
Les articles 32 et 33 organisent la supervision et l’exécution : les entités essentielles relèvent de moyens de contrôle ex ante et ex post ; les entités importantes sont soumises en principe à une supervision ex post, lorsqu’il existe des éléments montrant un possible manquement. Les instruments cités comprennent demandes d’information, audits, inspections, analyses de sécurité et mesures correctrices dans les conditions prévues. La façon dont ces instruments seront exercés en France dépend de la loi nationale et, le cas échéant, de ses textes d’application.
Il est donc incorrect d’écrire qu’aujourd’hui l’ANSSI disposerait, au titre d’une loi française NIS 2 de 2024, de tous les pouvoirs listés dans la directive. L’ANSSI possède déjà des missions et pouvoirs sous d’autres régimes, notamment pour les OIV et OSE. Une demande de l’autorité doit être analysée selon son fondement exact : OIV, OSE, incident, autre texte ou future NIS 2. Le destinataire, le périmètre et les délais de réponse peuvent varier.
Exemple hypothétique : une société désignée OSE reçoit une demande sur un incident affectant son service essentiel. Elle ne peut pas répondre « NIS 2 n’est pas transposée, donc aucun contrôle n’est possible » : ses obligations OSE françaises existent. Elle ne doit pas non plus accepter qu’une sanction NIS 2 proposée soit présentée comme fondement français actuel. Le service juridique note le texte mentionné dans le courrier et prépare la réponse technique avec le RSSI.
3. Plafonds européens : leur sens exact
L’article 34, paragraphes 4 et 5, demande aux États de prévoir, pour les violations des articles 21 ou 23, un montant maximal d’au moins dix millions d’euros ou deux pour cent du chiffre d’affaires annuel mondial total précédent pour une EE, et d’au moins sept millions d’euros ou 1,4 % pour une EI. Le montant le plus élevé des deux seuils doit être retenu. Ce sont des minimums d’harmonisation des plafonds nationaux, pas le montant de toute amende, ni nécessairement le plafond final retenu par la France.
Le pourcentage porte sur le chiffre d’affaires de l’entreprise à laquelle appartient l’entité, selon le libellé de la directive. Avant une simulation, vérifiez l’entité juridique, le groupe et l’exercice de référence ; ne multipliez pas mécaniquement le chiffre d’affaires local par deux pour cent. Une PME peut théoriquement relever du montant fixe maximal, mais cela ne signifie pas qu’une amende de plusieurs millions « démarre » à ce niveau. L’article 34 exige une décision proportionnée à chaque cas.
Exemple hypothétique : une EI réalise quinze millions d’euros de chiffre d’affaires. Le calcul de 1,4 % donne 210 000 euros, inférieur à sept millions ; la directive exige que le plafond national accessible atteigne au moins sept millions. Elle n’exige pas de prononcer sept millions contre cette EI. Gravité, durée, mesures prises et situation concrète seraient déterminantes.
4. Quels manquements sont visés ?
L’article 34 lie explicitement les amendes de ses paragraphes 4 et 5 aux violations des articles 21 et 23 : gestion des risques et notification des incidents significatifs. D’autres mesures de supervision répondent à des manquements ou à un refus de coopérer, selon les articles 32 et 33 et leur transposition. Une faiblesse technique isolée ne permet pas, sans analyse du risque et du texte applicable, de conclure qu’une mesure proportionnée manque.
L’article 21 couvre politiques de risque, gestion d’incident, continuité, fournisseurs, sécurité du développement, évaluation, hygiène, cryptographie, contrôle des accès et authentification. L’article 23 organise une séquence de notification pour certains incidents significatifs, non pour chaque alerte antivirus. La checklist d’audit décrit les preuves pertinentes sans inventer de fréquence ou produit universel.
Une direction doit également distinguer « risque de manquement » et « fait établi ». Le dossier peut montrer qu’un contrôle était proportionné au risque connu, qu’un incident a déclenché une revue et que des corrections ont été financées. À l’inverse, un rapport d’audit ignoré pendant des années peut éclairer la négligence. Les décisions documentées comptent davantage qu’une déclaration absolue de conformité.
5. Critères de décision inscrits dans la directive
Les articles 32, paragraphe 7, et 34 demandent de tenir compte notamment de la gravité et de l’importance du manquement, de sa durée, des dommages causés, de son caractère intentionnel ou négligent, des mesures prises pour prévenir ou limiter le dommage, des antécédents, de la coopération et du degré de responsabilité. L’autorité doit aussi considérer les circonstances du cas. Il n’existe donc pas de barème unique « un contrôle absent = telle amende ».
Exemple hypothétique : deux entités découvrent une vulnérabilité sur un service exposé. La première avait identifié le risque, préparé un correctif, réduit temporairement l’accès et conservé les décisions. La seconde n’avait ni inventaire ni responsable et ignorait plusieurs alertes. Le constat technique initial paraît semblable ; la gouvernance et la réaction documentées diffèrent. Cela ne préjuge d’aucune décision future, mais explique pourquoi la preuve de traitement du risque est essentielle.
Un plan d’action utile donne pour chaque lacune le service touché, la menace, le propriétaire, la mesure transitoire, l’échéance réaliste et la preuve de fermeture. Le plan de continuité et la gestion de crise produisent également des traces de décisions lorsque l’incident survient.
6. Direction : approbation, surveillance et formation
L’article 20 de la directive demande aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser l’exécution et de suivre une formation. Il indique aussi que les États doivent veiller à ce que ces organes puissent être tenus responsables des manquements, sans préjudice du droit national. Cette formule ne crée pas, seule, une amende personnelle uniforme ni une solidarité financière automatique de tous les dirigeants.
L’article 32, paragraphe 5, prévoit pour certaines entités essentielles une demande ou imposition, conformément au droit national, de suspension temporaire de certification ou d’autorisation, ou une interdiction temporaire d’exercer des fonctions de direction à l’égard de personnes responsables. Les conditions sont particulières et relèvent de la procédure nationale. Il serait trompeur d’annoncer qu’un dirigeant français d’EI risque déjà automatiquement une interdiction au titre du projet NIS 2.
La preuve de gouvernance peut être simple : compte rendu de décision, priorités acceptées, budget, résultat d’exercice, formation suivie et suivi des écarts. Une signature de PSSI sans examen des services critiques et des risques résiduels sera moins informative qu’un arbitrage motivé. Consultez le guide de PSSI pour formaliser ces choix.
7. Mesures autres que l’amende
La directive envisage avertissements, instructions contraignantes, ordres de mise en conformité, publication de certains éléments, information des clients et, dans des conditions particulières, mesures touchant une autorisation ou une fonction de direction. Elle ne donne pas carte blanche à une autorité française sans base nationale. Pour chaque mesure, vérifiez qui la décide, sur quel constat, avec quelles garanties et quel recours dans la future loi.
Dans la pratique de préparation, une demande d’information est déjà un test de maîtrise : l’entité sait-elle produire sa cartographie, ses incidents, les décisions de direction et ses contrats critiques ? Le registre d’audit peut inspirer la tenue des preuves lorsqu’il s’agit de données personnelles, mais NIS 2 a son propre périmètre. Préservez aussi les secrets protégés et les données des salariés lorsque vous partagez des éléments techniques.
8. RGPD, OIV, OSE et DORA : éviter les doubles raccourcis
Une cyberattaque peut déclencher plusieurs analyses. Le RGPD article 32 concerne la sécurité des données personnelles ; une violation de données peut aussi devoir être notifiée à la CNIL. Le régime OIV vise les SIIV désignés, le régime OSE les services essentiels identifiés, et DORA organise des exigences sectorielles pour la finance. Ces champs peuvent se croiser sans se remplacer automatiquement.
L’article 35 de NIS 2 organise une coopération avec les autorités de protection des données et prévoit des règles pour éviter certaines doubles amendes fondées sur le même comportement déjà sanctionné au titre du RGPD. Il faut lire ses conditions ; dire simplement « jamais deux sanctions pour une cyberattaque » serait faux. Des faits distincts, des obligations distinctes ou des périmètres différents exigent une analyse séparée. Une chronologie commune aide les équipes à coordonner les déclarations sans les confondre.
9. Préparer un contrôle de façon vérifiable
Rassemblez d’abord les bases de qualification : société concernée, services, secteur et seuils calculés, désignations déjà reçues. Ajoutez l’inventaire des systèmes nécessaires, les analyses de risque, politiques approuvées, comptes rendus de gouvernance, preuves de mise en œuvre et tests de restauration. Documentez enfin les incidents et les décisions de notification. Ce dossier doit être daté et permettre de remonter d’une mesure à un risque ; un classeur de certificats sans périmètre ne suffit pas.
Organisez un audit blanc NIS 2 qui confronte documents et pratique : un responsable métier sait-il qui décide l’arrêt d’un service ? Le support sait-il révoquer un compte compromis ? Une restauration a-t-elle abouti ? Les preuves échouées deviennent un plan de correction. La méthode ne promet aucune immunité contre une sanction ; elle améliore la sécurité et rend les décisions explicables.
Exemple hypothétique : une entreprise conserve une politique « sauvegardes quotidiennes » mais aucun test. L’audit demande la restauration d’un service vital sur un environnement isolé ; l’essai révèle une clé manquante. Corriger la clé et rejouer le test apporte une preuve réelle. Réécrire la politique sans test aurait laissé le risque intact.
10. Chronologie française : ce qui est connu
L’échéance de transposition du 17 octobre 2024 est dépassée. Le Sénat a adopté le projet français le 12 mars 2025, puis l’Assemblée a publié son texte de commission en septembre 2025. Le dossier parlementaire consulté au 27 septembre 2026 ne montre pas de promulgation de la transposition NIS 2. La Commission européenne indique avoir saisi la Cour de justice pour défaut de communication des mesures nationales par plusieurs États, dont la France.
Il n’existe dans ces sources aucune date garantie de « premières sanctions fin 2026 », aucune période générale d’impunité jusqu’en 2027 et aucun calendrier de mise en demeure de un à six mois applicable à toutes les entités. Les dispositions transitoires, modalités d’enregistrement et pouvoirs exacts devront être lus dans la loi et ses décrets éventuels lorsqu’ils seront publiés. Une entité déjà OIV ou OSE doit continuer à respecter ses obligations existantes.
11. Incident : les premières décisions de la direction
À l’alerte, séparez trois questions : avons-nous un incident de sécurité ? affecte-t-il significativement un service visé ? des données personnelles sont-elles compromises ? Les réponses peuvent évoluer pendant l’enquête. N’attendez pas une certitude technique totale avant de préparer les notifications applicables. Enregistrez l’heure de découverte, les systèmes, l’impact estimé, les mesures d’endiguement et les inconnues.
L’article 23 NIS 2 prévoit sous conditions une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures et un rapport final dans le mois suivant la notification. Ce sont les prescriptions de la directive à transposer ; vérifiez en France le régime actuellement applicable à votre entité. Le playbook de crise détaille la coordination des équipes et des autorités.
12. Questions à poser avant d’estimer une exposition
Demandez : quelle personne morale, quel service, quelle désignation, quel texte en vigueur ? Quelles mesures étaient proportionnées au risque identifié ? Quelles alertes ont été reçues, quand et par qui ? Quelles décisions ont été prises et testées ? Une notification était-elle requise, à partir de quelle prise de connaissance et selon quel canal ? Les réponses doivent venir de pièces datées, pas d’une impression de maturité.
Pour un fournisseur, ajoutez les obligations contractuelles et les accès au client. Être sous-traitant d’une future EE ne transfère pas automatiquement le statut ni l’amende NIS 2 du client. Un contrat peut toutefois créer des obligations de sécurité et de notification propres ; un manquement peut avoir des conséquences contractuelles avant toute transposition. Voir NIS 2 et fournisseurs.
Questions fréquentes
Dix millions d’euros est-il le plafond français actuel pour une EE ?
L’article 34 fixe aux États un plafond national qui doit atteindre au moins ce montant, ou 2 % du chiffre d’affaires mondial si ce chiffre est supérieur. Au 27 septembre 2026, le dossier officiel de transposition française reste en cours ; ce chiffre ne doit pas être présenté comme une amende NIS 2 française déjà applicable.
La direction peut-elle être sanctionnée personnellement ?
La directive prévoit responsabilités de gouvernance et mesures particulières à transposer. Les conditions d’une conséquence individuelle en France dépendront du texte national et du cas. Une formation et des arbitrages documentés sont déjà une bonne préparation.
Qui contrôle aujourd’hui un OSE ou un OIV ?
Leurs régimes français existants déterminent les autorités et pouvoirs applicables. Vérifiez le texte et la désignation reçue ; la discussion de la loi NIS 2 ne suspend pas ces obligations.