Amendes et sanctions NIS2 : combien, pour quels manquements et ce que les autorités peuvent faire d'autre

Les amendes NIS2 s’appliquent lorsqu’une entité enfreint l’article 21 (mesures de gestion des risques en matière de cybersécurité) ou l’article 23 (notification des incidents). Le droit national doit permettre des amendes administratives d’un montant maximal d’au moins 10 000 000 EUR ou d’au moins 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 000 000 EUR ou d’au moins 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Il n’existe pas de palier NIS2 plus élevé : 20 millions d’euros ou 4 %, c’est le RGPD.

Ce guide couvre les plafonds, le chiffre d’affaires du groupe, les manquements sanctionnés, la fixation du montant, les autres pouvoirs d’exécution, la responsabilité personnelle, le RGPD, les lois nationales et une liste de contrôle.

	Entités essentielles	Entités importantes
Montant maximal des amendes, art. 21 ou 23 (art. 34)	Au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial	Au moins 7 millions d’euros ou 1,4 %
Début de la supervision	À tout moment, y compris par des contrôles aléatoires (art. 32)	Ex post, sur la base d’éléments de preuve ou d’indications (art. 33)
Audits	Réguliers, ciblés et ad hoc	Ciblés uniquement
Avertissements, instructions contraignantes, injonctions, publication	Oui	Oui
Responsable du contrôle	Oui (art. 32, par. 4, point g))	Non
Suspension de certification, interdiction temporaire d’exercer des fonctions de direction	Dernier recours (art. 32, par. 5)	Non
Responsabilité personnelle des représentants	Art. 32, par. 6	Art. 32, par. 6, via l’art. 33, par. 5
Amende RGPD pour le même comportement	Pas d’amende NIS2 (art. 35, par. 2)	Pas d’amende NIS2 (art. 35, par. 2)

Quel est le montant des amendes NIS2 ?

L’article 34 fixe un plancher pour le plafond national, pas le montant de l’amende elle-même. Pour les violations de l’article 21 ou 23 :

• Entités essentielles : des amendes administratives d’un montant maximal d’au moins 10 000 000 EUR ou d’au moins 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 34, paragraphe 4).
• Entités importantes : un montant maximal d’au moins 7 000 000 EUR ou d’au moins 1,4 % de ce chiffre d’affaires, le montant le plus élevé étant retenu (article 34, paragraphe 5).

La formule montant maximal d’au moins joue dans les deux sens. Le droit national peut fixer un plafond plus élevé, et une amende peut prendre n’importe quel montant jusqu’à ce plafond. Les amendes doivent être « effectives, proportionnées et dissuasives » (article 34, paragraphe 1).

Les deux paires de chiffres se croisent à 500 millions d’euros de chiffre d’affaires : 2 % de ce montant font 10 millions d’euros, 1,4 % font 7 millions d’euros. En dessous, le montant fixe détermine le plafond ; au-dessus, c’est le pourcentage. Pour un groupe réalisant 2 milliards d’euros de chiffre d’affaires, le maximum national doit être d’au moins 40 millions d’euros pour une entité essentielle et de 28 millions d’euros pour une entité importante.

Quel chiffre d’affaires est pris en compte ?

C’est le chiffre d’affaires de l’entreprise à laquelle l’entité appartient (article 34, paragraphes 4 et 5). Le considérant 130 entend la notion d’entreprise au sens des articles 101 et 102 du TFUE : la notion du droit de la concurrence, celle d’une unité économique, qui peut comprendre une société mère et ses filiales. Une petite filiale d’un grand groupe devrait partir du principe que le pourcentage peut être calculé sur le chiffre d’affaires du groupe.

Existe-t-il une amende NIS2 de 20 millions d’euros ou 4 % ?

Non. C’est le palier supérieur du RGPD (article 83, paragraphe 5, du RGPD). NIS2 ne prévoit pas non plus de palier pour les violations répétées ou systématiques : la répétition joue sur le montant, pas sur le plafond.

Pour quels manquements une amende NIS2 peut-elle être infligée ?

Les planchers de l’article 34 s’appliquent à deux obligations :

• Article 21, les mesures de gestion des risques en matière de cybersécurité : les dix mesures minimales, appliquées de manière proportionnée, avec des mesures correctives lorsque vous constatez une lacune.
• Article 23, la notification des incidents : une alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident important, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois après la notification.

Les autres violations, comme le défaut d’enregistrement ou l’absence de réponse à une demande d’informations, échappent à ces planchers. Le droit national fixe leurs sanctions, que l’article 36 exige « effectives, proportionnées et dissuasives », sans montant minimal au niveau de l’Union.

Les États membres décident si des amendes peuvent être infligées aux entités de l’administration publique (article 34, paragraphe 7). Lorsqu’un système juridique ne prévoit pas d’amendes administratives, l’autorité engage la procédure d’amende et une juridiction l’inflige (article 34, paragraphe 8).

Comment les autorités fixent-elles le montant d’une amende NIS2 ?

L’article 34, paragraphe 3, impose aux autorités de tenir dûment compte, au minimum, des éléments énumérés à l’article 32, paragraphe 7 :

• la gravité de la violation et l’importance des dispositions enfreintes ;
• sa durée ;
• les violations antérieures pertinentes ;
• tout dommage matériel ou immatériel causé, y compris toute perte financière ou économique ;
• le caractère intentionnel ou négligent de la violation ;
• les mesures prises pour prévenir ou atténuer le dommage ;
• l’application de codes de conduite approuvés ou de mécanismes de certification approuvés ;
• le niveau de coopération avec les autorités compétentes.

L’article 32, paragraphe 7, point a), cite notamment cinq cas qui constituent en tout état de cause une violation grave :

• les violations répétées ;
• le fait de ne pas notifier des incidents importants ou de ne pas y remédier ;
• le fait de ne pas remédier aux lacunes à la suite d’instructions contraignantes ;
• l’entrave aux audits ou aux activités de suivi ordonnés après la constatation d’une violation ;
• la fourniture d’informations fausses ou grossièrement inexactes sur les mesures de l’article 21 ou les notifications de l’article 23.

Les États membres peuvent aussi prévoir des astreintes pour contraindre une entité à mettre fin à une violation, à la suite d’une décision antérieure (article 34, paragraphe 6).

Que peuvent faire d’autre les autorités NIS2 ?

Les amendes sont infligées en complément de n’importe laquelle des autres mesures : les deux peuvent donc se cumuler (article 34, paragraphe 2).

Comment les autorités détectent-elles les manquements ?

Les entités essentielles peuvent être supervisées sans aucun déclencheur (article 32, paragraphe 2). Les pouvoirs comprennent des inspections sur place et une supervision à distance, y compris des contrôles aléatoires ; des audits de sécurité réguliers, ciblés et ad hoc ; des scans de sécurité ; des demandes d’informations et l’accès aux données ; et des demandes de preuves de la mise en œuvre de politiques de cybersécurité. L’entité paie un audit ciblé réalisé par un organisme indépendant, sauf si l’autorité en décide autrement.

Les entités importantes sont supervisées ex post : l’autorité agit lorsqu’elle reçoit des éléments de preuve, des indications ou des informations faisant état d’un manquement (article 33, paragraphe 1). Les outils sont similaires, mais les audits sont uniquement ciblés. Une demande d’informations doit indiquer sa finalité et les informations demandées (article 32, paragraphe 3, et article 33, paragraphe 3).

Quelles mesures d’exécution sont prévues ?

À l’égard des deux catégories (article 32, paragraphe 4, et article 33, paragraphe 4), les autorités peuvent :

• adresser des avertissements ;
• adopter des instructions contraignantes, ou enjoindre à l’entité de remédier aux lacunes constatées ;
• lui enjoindre de mettre un terme au comportement en infraction et de ne pas le réitérer ;
• lui enjoindre de mettre ses mesures en conformité avec l’article 21, ou de respecter les obligations de notification de l’article 23, d’une manière et dans un délai déterminés ;
• lui enjoindre d’informer les clients potentiellement touchés par une cybermenace importante de cette menace et des mesures de protection qu’ils peuvent prendre ;
• lui enjoindre de mettre en œuvre les recommandations d’un audit de sécurité dans un délai raisonnable ;
• lui enjoindre de rendre publics certains aspects de la violation ;
• infliger une amende, ou demander à une juridiction ou à un autre organisme d’en infliger une.

Pour les seules entités essentielles, l’autorité peut aussi désigner un responsable du contrôle chargé de superviser le respect des articles 21 et 23 pendant une période déterminée (article 32, paragraphe 4, point g)).

Avant d’agir, l’autorité doit motiver sa décision de manière détaillée, communiquer ses constatations préliminaires et laisser un délai pour présenter des observations, sauf si une action immédiate est nécessaire pour prévenir des incidents ou y répondre (article 32, paragraphe 8, appliqué aux entités importantes par l’article 33, paragraphe 5).

Quel est le dernier recours ?

L’article 32, paragraphe 5, ne s’applique qu’aux entités essentielles, et seulement lorsque les avertissements, les instructions et les injonctions sont restés sans effet. L’autorité fixe un délai. S’il expire, elle peut :

1. suspendre temporairement, ou faire suspendre par un organisme de certification ou une juridiction, une certification ou une autorisation concernant tout ou partie des services de l’entité ;
2. demander à une juridiction ou à un autre organisme compétent d’interdire temporairement à une personne exerçant des responsabilités au niveau de directeur général ou de représentant légal d’exercer des fonctions de direction dans l’entité.

Les deux mesures ne durent que jusqu’à ce que l’entité remédie aux lacunes. Aucune ne s’applique à l’administration publique.

Les dirigeants peuvent-ils être tenus personnellement responsables au titre de NIS2 ?

Oui, mais la forme de cette responsabilité est fixée par le droit national. Deux dispositions comptent :

• Article 20, paragraphe 1 : les organes de direction approuvent les mesures de l’article 21, supervisent leur mise en œuvre et peuvent être tenus responsables des violations de cet article par les entités. Leurs membres doivent suivre une formation.
• Article 32, paragraphe 6 : toute personne qui représente l’entité, prend des décisions en son nom ou la contrôle doit avoir le pouvoir d’en assurer la conformité, et il doit être possible de tenir ces personnes physiques responsables des manquements à leur obligation d’assurer cette conformité. L’article 33, paragraphe 5, applique cette règle aux entités importantes.

La directive ne précise pas la forme de cette responsabilité. Le considérant 128 indique qu’elle n’exige pas de responsabilité pénale ou civile de ces personnes pour les dommages subis par des tiers. La seule mesure personnelle qu’elle cite est l’interdiction temporaire d’exercer des fonctions de direction prévue à l’article 32, paragraphe 5. Ce que la direction devrait documenter est présenté dans la responsabilité de la direction au titre de NIS2.

Et si l’incident de sécurité est aussi une violation de données à caractère personnel ?

C’est la situation derrière les recherches sur un incident chez un fournisseur cloud ou télécom qui expose des données de clients. L’article 35 fixe l’ordre des opérations :

1. Lorsqu’une violation de l’article 21 ou 23 peut entraîner une violation de données à caractère personnel, l’autorité NIS2 en informe l’autorité de contrôle RGPD sans retard injustifié (article 35, paragraphe 1).
2. Si cette autorité inflige une amende en vertu de l’article 58, paragraphe 2, point i), du RGPD, l’autorité NIS2 n’inflige pas d’amende administrative au titre de l’article 34 pour le même comportement (article 35, paragraphe 2).
3. L’autorité NIS2 conserve ses autres mesures : avertissements, injonctions, publication et, pour les entités essentielles, l’article 32, paragraphe 5.

Pour une défaillance de sécurité, le palier RGPD pertinent n’est pas celui que l’on cite habituellement. La sécurité du traitement et la notification des violations (articles 32 à 34 du RGPD) relèvent du palier de 10 millions d’euros ou 2 % de l’article 83, paragraphe 4, du RGPD. Le recoupement complet est traité dans NIS2 et RGPD.

L’autorité NIS2 compétente dépend du service. Les fournisseurs de réseaux ou de services de communications électroniques publics relèvent de chaque État membre dans lequel ils fournissent leurs services ; les fournisseurs de services d’informatique en nuage, de centres de données, de services gérés et assimilés relèvent de l’État membre de leur établissement principal (article 26). Les fournisseurs de télécommunications sont essentiels à partir de la taille moyenne ; les fournisseurs de services cloud sont, en règle générale, essentiels au-delà des plafonds de la moyenne entreprise et importants s’ils sont de taille moyenne. Voir entités essentielles et entités importantes.

Que prévoient les lois nationales de transposition de NIS2 ?

Les montants, les autorités et les procédures relèvent du droit national ; la directive fixe des minimums. Deux exemples :

• Luxembourg. La loi du 5 mai 2026, en vigueur depuis le 10 mai 2026, fixe des amendes maximales de 10 millions d’euros ou 2 % pour les entités essentielles, et de 7 millions d’euros ou 1,4 % pour les entités importantes. Elle prévoit aussi des avertissements, des blâmes et des amendes jusqu’à 250 000 EUR pour l’enregistrement et certaines autres obligations (article 25, paragraphe 1), ainsi que des astreintes jusqu’à 1 250 EUR par jour, plafonnées à 25 000 EUR. Voir NIS2 au Luxembourg.
• Belgique. Les entités essentielles avaient jusqu’au 18 avril 2026 pour présenter une vérification CyberFundamentals, une voie ISO/IEC 27001 ou une auto-évaluation accompagnée d’une demande d’inspection. Le CCB a averti que le fait de ne pas transmettre des informations complètes ou dans les délais peut entraîner des mesures administratives ou des sanctions financières. Voir NIS2 en Belgique.

Où en est l’application de NIS2 en 2026 ?

La directive s’applique depuis le 18 octobre 2024, mais les amendes supposent une loi nationale, et tous les États membres n’en avaient pas adopté une à la mi-2026. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication des mesures de transposition. Au niveau transfrontière, les autorités doivent se prêter assistance et peuvent mener des actions de supervision conjointes (article 37).

Ce que les règles sur les amendes laissent ouvert en pratique

L’article 32, paragraphe 7, indique aux autorités ce qu’elles doivent prendre en compte, pas ce qui vaut preuve à cet égard. Trois facteurs dépendent largement de documents que vous avez ou que vous n’avez pas :

• Durée. Quand la lacune est-elle apparue et quand l’avez-vous comblée ? Sans documents datés, vous ne pouvez montrer ni l’un ni l’autre.
• Atténuation. Qu’avez-vous fait dans les premières heures d’un incident, et pouvez-vous le prouver ?
• Coopération. La rapidité et l’exhaustivité avec lesquelles vous produisez des preuves de la mise en œuvre de politiques de cybersécurité.

Deux des violations graves, ne pas notifier un incident important et ne pas remédier aux lacunes après une instruction contraignante, se résument à une question : quelqu’un a-t-il décidé à temps et l’a-t-il consigné par écrit ?

La lacune habituelle n’est pas la politique. C’est de pouvoir montrer l’état d’une mesure de sécurité à une date donnée. Des preuves rassemblées à la main avant un audit montrent le jour où elles ont été rassemblées ; après un incident, l’autorité demande ce qui était vrai avant. En pratique, combler cette lacune signifie collecter les preuves en continu depuis les systèmes d’identité, de terminaux, de cloud et de ticketing, les conserver datées, et confier à une personne l’examen des exceptions et des décisions sur le caractère important des incidents. C’est ainsi que fonctionne la plateforme CloudSoul : une collecte automatisée, avec une revue humaine dans la boucle. Un audit de sécurité au regard des articles 21 et 23 montre où vous en êtes. Le programme dans son ensemble est présenté sur la page conformité NIS2.

Une approche raisonnable consiste à tenir prêt un dossier unique pour le jour où une autorité vous écrit :

DOSSIER DE RÉPONSE À L'AUTORITÉ NIS2 (à tenir à jour, tout dater)

1. Entité
   - Catégorie (essentielle / importante) et son fondement
   - Preuve d'enregistrement ; structure du groupe ;
     dernier chiffre d'affaires du groupe
2. Gouvernance (article 20)
   - Approbation des mesures par l'organe de direction, avec la date
   - Justificatifs de formation de la direction
3. Mesures (article 21)
   - Registre des risques, politique de sécurité, ensemble de mesures
   - Preuves par mesure, datées, avec le système d'origine
   - Lacunes ouvertes : responsable, échéance, action corrective
4. Incidents (article 23)
   - Registre des incidents, avec chaque décision sur le caractère
     important et sa justification
   - Alerte précoce, notification et rapport final, horodatages
5. Historique de supervision
   - Demandes reçues, réponses envoyées, dates
   - Instructions ou injonctions, et preuves de leur exécution
6. Contacts
   - Qui répond à l'autorité, qui signe, qui conseille

Liste de contrôle : amendes NIS2

• Vérifiez si vous êtes une entité essentielle ou importante, et dans quels États membres.
• Lisez les plafonds d’amendes et les autres sanctions de chaque loi nationale qui vous est applicable.
• Déterminez quel chiffre d’affaires une amende en pourcentage retiendrait : celui du groupe, pas seulement celui de l’entité.
• Consignez l’approbation des mesures de l’article 21 par l’organe de direction et la formation de ses membres.
• Testez la notification des incidents au regard des délais de 24 heures, 72 heures et un mois, et conservez les décisions sur le caractère important des incidents.
• Conservez des preuves datées pour chaque mesure, ainsi qu’une liste des lacunes avec responsables et échéances.
• Désignez un responsable unique et un processus unique pour répondre aux demandes des autorités.
• Convenez avec votre responsable de la protection des données de la manière de traiter un incident qui relève à la fois de NIS2 et du RGPD.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 20, 21, 23, 26, 32, 33, 34, 35, 36 et 37 et considérants 128 et 130, EUR-Lex.
• Règlement (UE) 2016/679 (RGPD), article 58, paragraphe 2, point i), et article 83, EUR-Lex.
• Luxembourg, loi du 5 mai 2026 relative aux mesures destinées à assurer un niveau élevé de cybersécurité, Legilux.
• Centre pour la Cybersécurité Belgique, « NIS2: 18 April 2026 deadline, what essential entities must have in place », mis à jour le 16 avril 2026, CCB.
• Commission européenne, saisine de la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour la transposition de NIS2, 8 juillet 2026, Façonner l’avenir numérique de l’Europe.

Questions fréquentes