Guide NIS2
Sanctions et contrôles NIS2
NIS2 donne aux autorités des pouvoirs de contrôle étendus et prévoit des amendes élevées. En France, ces règles n’existent pas encore dans la loi. Le texte voté par le Sénat montre toutefois comment l’ANSSI et une commission des sanctions devraient intervenir.
Mise à jour : octobre 2026 · Base : directive (UE) 2022/2555 et projet de loi Résilience (texte adopté par le Sénat le 12 mars 2025)
Les montants fixés par la directive
L’article 34 de la directive (UE) 2022/2555 impose aux États membres de prévoir des amendes administratives dont le plafond est au moins égal aux montants suivants. Le montant le plus élevé des deux est retenu.
| Catégorie | Plafond minimal | Ou, si plus élevé |
|---|---|---|
| Entité essentielle | 10 millions d’euros | 2 % du chiffre d’affaires annuel mondial de l’exercice précédent |
| Entité importante | 7 millions d’euros | 1,4 % du chiffre d’affaires annuel mondial de l’exercice précédent |
Ce sont des plafonds, pas des montants automatiques. La directive demande de tenir compte de la gravité du manquement, de sa durée, des manquements antérieurs, des dommages causés, des mesures prises pour les limiter et de la coopération avec l’autorité (art. 32, par. 7, et art. 33, par. 5).
Ce que prévoit le projet de loi
Le texte adopté par le Sénat le 12 mars 2025 reprend ces montants. Selon son article 37, I, la commission des sanctions peut prononcer :
- contre les entités essentielles, une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial hors taxes de l’entreprise à laquelle l’entité appartient, le montant le plus élevé étant retenu ;
- contre les entités importantes, une amende pouvant atteindre 7 millions d’euros ou 1,4 % de ce chiffre d’affaires.
Les administrations de l’État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs sont exclus de ces amendes, mais pas des obligations. Si les faits constituent aussi une violation du RGPD déjà sanctionnée par la CNIL, la commission des sanctions ne peut pas prononcer d’amende (art. 37, I).
La commission peut aussi exiger que l’entité rende public le manquement, publier sa décision (art. 37, VI) et, pour les entités essentielles, interdire en dernier recours à un dirigeant d’exercer ses fonctions jusqu’à la correction du manquement (art. 37, V). Elle tient compte des circonstances, de la gravité, de la bonne foi ainsi que des ressources de l’entité (art. 37, VII).
Comment l’ANSSI contrôlerait
La directive distingue deux régimes. Les entités essentielles font l’objet d’une supervision a priori, y compris des audits et inspections sans incident préalable (art. 32). Les entités importantes sont contrôlées a posteriori, lorsque des éléments laissent penser qu’elles ne respectent pas leurs obligations (art. 33).
Le texte du Sénat prévoit que le contrôle de l’ANSSI peut prendre plusieurs formes (art. 29) :
- inspections sur place et contrôles à distance ;
- audits de sécurité réguliers et ciblés, réalisés par l’ANSSI ou par un organisme indépendant qu’elle désigne ;
- scans de sécurité ;
- audits après un incident important ou une violation des obligations.
Le coût des audits menés par un organisme indépendant est en principe à la charge de l’entité contrôlée. Celle-ci doit mettre à disposition les documents demandés et coopérer (art. 27 et 28 du projet).
Avant l’amende : les mesures d’exécution
L’amende n’est pas la première étape. Selon l’article 31 du texte du Sénat, après un contrôle révélant un manquement, l’ANSSI peut, après avoir entendu l’entité :
- prononcer un avertissement ;
- enjoindre de prendre les mesures nécessaires pour éviter un incident ou y remédier ;
- enjoindre de se mettre en conformité dans un délai d’au moins un mois, sauf manquement grave ou répété ;
- enjoindre d’informer les clients exposés à une menace grave ;
- enjoindre de mettre en œuvre les recommandations d’un audit.
Ces injonctions peuvent être assorties d’une astreinte de 5 000 euros au plus par jour de retard. Si l’entité ne s’y conforme pas, l’ANSSI saisit la commission des sanctions prévue à l’article L. 1332-15 du code de la défense (art. 35 du projet).
Ce que vous pouvez déjà faire
Lors d’un contrôle, ce sont les preuves qui comptent. L’article 15 du projet permet de s’appuyer sur le référentiel de l’ANSSI, ou un référentiel reconnu équivalent, pour démontrer le respect des objectifs ; à défaut, l’entité doit démontrer elle-même que ses mesures suffisent. Commencez donc par :
- dater et conserver chaque décision de la direction (voir rôle des dirigeants) ;
- tenir un dossier de preuves par mesure : politique, procédure, compte rendu de test, attestation ;
- suivre les constats d’audit jusqu’à leur correction ;
- évaluer votre niveau avec le diagnostic NIS2 et traiter d’abord les obligations directement sanctionnables.
Questions fréquentes
Quelles amendes risque une entreprise en France aujourd’hui ?
Aucune au titre de NIS2, car la loi n’est pas encore adoptée. Le texte du Sénat prévoit jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles et 7 M€ ou 1,4 % pour les entités importantes (art. 37).
Qui prononcera les sanctions ?
Selon le texte du Sénat, la commission des sanctions mentionnée à l’art. L. 1332-15 du code de la défense, saisie par l’ANSSI (art. 35 du projet).
Les collectivités peuvent-elles être sanctionnées ?
Le texte du Sénat les exclut des amendes, mais elles restent soumises aux obligations et aux contrôles de l’ANSSI.
Une entité importante peut-elle être contrôlée sans incident ?
Selon la directive, les entités importantes sont contrôlées a posteriori, sur la base d’éléments indiquant un manquement (art. 33). Les entités essentielles peuvent l’être à tout moment (art. 32).