Sanctions NIS2 : amendes, responsabilité des dirigeants et mécanismes d'application

La directive NIS2 introduit un régime de sanctions administratives significativement renforcé par rapport à NIS1. Pour la première fois, elle établit une responsabilité personnelle explicite des dirigeants en matière de cybersécurité, et prévoit des amendes qui peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Comprendre ce régime est essentiel pour les dirigeants de PME et ETI soumises à NIS2.

Montants des amendes administratives NIS2

NIS2 distingue deux catégories d'entités avec des plafonds d'amendes différents :

Entités essentielles (EE)

Pour les entités classées comme essentielles (grands acteurs des secteurs énergie, transport, santé, eau, infrastructure numérique, administration publique, secteur spatial), les amendes maximales sont :

• 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent (le montant le plus élevé s'applique)
• Ces seuils s'appliquent aux violations les plus graves : absence de mesures de cybersécurité, non-notification d'incidents, obstruction aux contrôles

Entités importantes (EI)

Pour les entités importantes (PME et ETI des secteurs secondaires comme la chimie, l'alimentation, les services postaux, la fabrication industrielle), les plafonds sont :

• 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total (le montant le plus élevé s'applique)
• Les États membres peuvent aller au-delà de ces plafonds dans leur transposition nationale

Responsabilité personnelle des dirigeants (article 20)

L'article 20 de NIS2 constitue une innovation majeure : il exige des États membres qu'ils permettent de tenir les personnes physiques responsables lorsque des violations NIS2 résultent d'un manquement délibéré ou d'une négligence grave.

Obligations explicites des dirigeants

• Approuver les mesures de cybersécurité : les organes de direction doivent valider et superviser la mise en œuvre des mesures de gestion des risques
• Se former à la cybersécurité : les membres de la direction doivent suivre des formations régulières sur les risques cyber et leur gestion
• Répondre personnellement : en cas de violation grave, les autorités nationales peuvent engager la responsabilité personnelle du PDG, DG ou membres du COMEX

Sanctions personnelles possibles

• Interdiction temporaire d'exercer des fonctions de direction (applicable aux entités essentielles)
• Déclaration publique mentionnant la personne physique et le manquement
• Amendes personnelles dans les États membres qui ont choisi ce mécanisme

Pouvoirs des autorités de contrôle (ANSSI en France)

NIS2 confère aux autorités compétentes des pouvoirs de supervision renforcés, qui diffèrent selon le type d'entité :

Supervision ex ante des entités essentielles

• Inspections sur place et contrôles à distance réguliers, sans attendre un incident
• Demandes d'audit de sécurité par un auditeur qualifié indépendant
• Accès aux données, documents et systèmes nécessaires à l'évaluation
• Demandes de preuves de mise en œuvre des politiques de cybersécurité

Supervision ex post des entités importantes

• Contrôles déclenchés après un incident ou une plainte
• Demandes d'informations et d'audits en réponse à des signaux d'alerte
• Accès aux registres d'incidents et aux rapports de sécurité

Mesures d'exécution disponibles

• Injonctions de mise en conformité avec délai imposé
• Suspension temporaire de certification ou autorisation d'exploitation
• Interdiction de fonctions de direction pour les dirigeants (entités essentielles)
• Déclarations publiques identifiant l'entité et la violation
• Amendes administratives selon les plafonds ci-dessus

Comparaison avec les sanctions RGPD

Les amendes NIS2 et RGPD peuvent se cumuler lors d'un incident de sécurité impliquant des données personnelles :

• RGPD : jusqu'à 20 M€ ou 4 % du CA mondial pour les violations les plus graves (article 83)
• NIS2 : jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles
• Un ransomware causant une violation de données peut déclencher à la fois une amende RGPD (violation de données) et une amende NIS2 (absence de mesures de sécurité adéquates)
• Les deux régimes peuvent coexister, mais les autorités de contrôle (CNIL et ANSSI en France) sont invitées à coordonner leurs actions

Processus de contrôle et gradation des sanctions

Les autorités de contrôle appliquent en pratique une gradation des mesures avant d'en arriver aux amendes maximales :

1. Avertissement et recommandation : demande de mise en conformité avec un délai raisonnable
2. Injonction formelle : obligation légale de corriger avec un délai imposé
3. Suspension de certification ou d'autorisation : mesure conservatoire pour les services critiques
4. Amende administrative : sanction financière proportionnée à la gravité et aux antécédents
5. Responsabilité des dirigeants : mesure de dernier recours pour les violations graves et répétées

Les critères pris en compte pour fixer le montant des sanctions incluent : la gravité et la durée de la violation, le nombre de personnes affectées, le caractère délibéré ou négligent, les mesures prises pour atténuer les dommages, et les antécédents de l'entité.

Comment se préparer pour éviter les sanctions

La meilleure protection contre les sanctions NIS2 est une démarche de conformité structurée et documentée :

• Diagnostic d'éligibilité : vérifier si votre organisation est entité essentielle ou importante
• Formation des dirigeants : mettre en place des formations cyber annuelles pour le COMEX (obligation article 20)
• Politique de sécurité documentée : PSSI approuvée par la direction, révisée annuellement
• Procédure de notification d'incident : processus formalisé avec délais (24h alerte, 72h notification)
• Audit annuel : démontrer la mise en œuvre des mesures par des audits documentés
• Registre des incidents : traçabilité de tous les événements de sécurité même mineurs

Conclusion

Le régime de sanctions NIS2 marque un tournant dans la gouvernance de la cybersécurité en Europe. La responsabilité personnelle des dirigeants n'est plus théorique : elle est inscrite dans la directive et transposée dans le droit national. Pour les PME et ETI soumises à NIS2, la question n'est pas de savoir si une mise en conformité est nécessaire, mais comment la réaliser efficacement avec les ressources disponibles. CyberConform accompagne les dirigeants dans cette démarche avec des programmes de conformité adaptés à la taille et au secteur de leur organisation.