Amendes NIS2 : ce que risquent les entreprises non conformes

NIS2 introduit les sanctions les plus sévères du droit numérique européen en cas de non-conformité cyber. C'est aussi la première réglementation qui prévoit des sanctions personnelles directes pour les dirigeants (vs RGPD qui ne touche que l'entreprise). Cet article fait le tour des risques.

Les sanctions financières

Comparatif avec RGPD

Cumul possible : une entreprise peut être sanctionnée simultanément sous RGPD ET NIS2 si les mêmes faits violent les deux textes. C'est ce que craignent les ETI les plus exposées.

Sanctions personnelles pour les dirigeants

NIS2 introduit une rupture majeure : la responsabilité personnelle des dirigeants (CEO, COO, DAF). Concrètement :

1. Interdiction d'exercer

En cas de manquement grave aux obligations NIS2, l'autorité compétente (ANSSI en France) peut interdire temporairement au dirigeant d'exercer ses fonctions. Durée typique : 1 à 3 ans.

2. Responsabilité civile

Les dirigeants sont personnellement responsables des préjudices subis par des tiers (clients, partenaires) du fait d'une cyberattaque causée par leur négligence.

3. Responsabilité pénale

En cas de mise en danger délibérée d'autrui (exemple : dirigeant qui ignore une vulnérabilité critique connue), les sanctions pénales classiques du Code pénal s'appliquent en complément.

Cas concrets (projections)

Cas 1 : ETI santé (hôpital privé)

Une ETI de 300 personnes dans la santé, suite à une cyberattaque ransomware qui bloque les dossiers patients 5 jours.

• Sanction NIS2 : jusqu'à 7 M€ ou 1,4% CA (60M€ → 840k€)
• Sanction RGPD (données patients) : jusqu'à 20 M€ ou 4% CA → 2,4 M€
• Sanctions personnelles dirigeants : interdiction d'exercer 2-3 ans
• Total potentiel : 3 M€ + sanctions dirigeants

Cas 2 : PME logistique (transport)

Une PME logistique de 80 personnes, victime d'une attaque qui bloque les livraisons pendant 2 jours.

• Sanction NIS2 : jusqu'à 7 M€ ou 1,4% CA (20M€ → 280k€)
• Perte d'exploitation : 500 k€ (livraisons bloquées + contrats perdus)
• Sanctions personnelles : selon gravité (peut aller jusqu'à interdiction)
• Coût total d'un incident + sanction : ~1 M€

Comment se protéger ?

1. Audit NIS2-ready : identifiez vos gaps avant l'échéance. Coût : 3 000-15 000 €.
2. Documentation systématique : prouvez vos mesures (politique, procédures, tests).
3. Programme de conformité : MFA généralisée, sauvegardes, segmentation, formation.
4. Conseil juridique : faites auditer vos contrats clients pour anticiper les exigences NIS2.
5. Cyber-assurance : certaines polices couvrent les amendes NIS2 (vérifiez les exclusions).

FAQ — Amendes NIS2

Quel est le montant maximum d'une amende NIS2 ?

Jusqu'à 10 millions d'euros OU 2% du chiffre d'affaires annuel mondial pour les entités essentielles. Jusqu'à 7 millions d'euros OU 1,4% du CA pour les entités importantes. La sanction est plafonnée au montant le plus élevé entre les deux.

Le dirigeant peut-il être personnellement responsable ?

Oui. NIS2 prévoit des sanctions personnelles : interdiction d'exercer des fonctions de direction, responsabilité civile, et dans les cas graves responsabilité pénale. C'est une rupture culturelle importante vs RGPD où la responsabilité reste principalement celle de l'entreprise.

Les amendes NIS2 sont-elles cumulables avec RGPD ?

Oui. Une entreprise peut être sanctionnée séparément sous RGPD (jusqu'à 20M€ ou 4% CA) ET sous NIS2 (jusqu'à 10M€ ou 2% CA). Les sanctions sont indépendantes et peuvent être cumulées si les mêmes faits constituent des violations distinctes des deux réglementations.

Conclusion

NIS2 est la première réglementation cyber qui touche directement les dirigeants. Le risque financier est important, mais le risque réputationnel et personnel est plus grand encore. Anticipez par un audit NIS2-ready et un programme de conformité documenté.

Voir aussi : NIS2 : suis-je concerné ? et audit de sécurité NIS2-ready.