Sanctions NIS 2 : ce que prévoient la directive et le projet de loi français
La directive NIS 2 impose aux États de prévoir, pour une violation des articles 21 (mesures de sécurité) ou 23 (notification des incidents), des amendes d'un montant maximal d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et d'au moins 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (article 34). Le projet de loi français reprend ces plafonds, en exclut les administrations de l'État, les collectivités et leurs établissements publics administratifs, et ajoute une astreinte jusqu'à 5 000 euros par jour. Au 20 octobre 2026, ce projet n'est pas voté : aucun régime de sanction NIS 2 n'est encore applicable en France.
Les plafonds fixés par la directive
Les montants figurent à l'article 34 de la directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex, consultée le 20 octobre 2026). Ce sont des plafonds minimaux : chaque État doit permettre d'aller au moins jusque-là, et peut prévoir plus.
| Catégorie | Plafond à prévoir au minimum | Assiette | Texte |
|---|---|---|---|
| Entité essentielle | 10 000 000 € ou 2 % du chiffre d'affaires, le plus élevé des deux | Chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité appartient | Article 34, paragraphe 4 |
| Entité importante | 7 000 000 € ou 1,4 % du chiffre d'affaires, le plus élevé des deux | Même assiette | Article 34, paragraphe 5 |
L'assiette est celle de l'entreprise à laquelle l'entité appartient, non de la seule filiale. Exemple fictif : pour une entité essentielle d'un groupe réalisant 800 millions d'euros de chiffre d'affaires mondial, 2 % font 16 millions d'euros, plus que 10 millions : le plafond est de 16 millions ; pour une entité importante du même groupe, 1,4 % font 11,2 millions. Ce sont des maxima : l'amende doit rester « effective, proportionnée et dissuasive » (article 34, paragraphe 1).
La directive prévoit aussi que les États peuvent instaurer des astreintes (paragraphe 6) et décider si des amendes s'appliquent aux entités de l'administration publique (paragraphe 7). Une même violation sanctionnée par une amende RGPD ne peut pas donner lieu, en plus, à une amende NIS 2 (article 35, paragraphe 2).
Les autres mesures : injonctions, publication, suspension
L'amende complète d'autres mesures (article 34, paragraphe 2). Pour les deux catégories, l'autorité peut émettre des avertissements, adopter des instructions contraignantes ou des injonctions, ordonner de cesser un comportement, de se mettre en conformité dans un délai donné, d'informer les personnes exposées à une cybermenace, d'appliquer les recommandations d'un audit, ou de rendre publics certains aspects de la violation (articles 32, paragraphe 4, et 33, paragraphe 4).
Pour les seules entités essentielles s'ajoutent la désignation d'un responsable du contrôle et, si les mesures restent inefficaces dans le délai fixé, la suspension temporaire d'une certification ou d'une autorisation et l'interdiction temporaire d'exercer des responsabilités dirigeantes (article 32, paragraphe 5). Ces deux dernières mesures ne s'appliquent pas à l'administration publique.
L'article 32, paragraphe 7, liste les circonstances à prendre en compte. Sont considérés comme graves, notamment : les violations répétées, le fait de ne pas notifier des incidents importants ou de ne pas y remédier, le fait de ne pas pallier les insuffisances après des instructions contraignantes, l'entrave à un audit, la fourniture d'informations fausses ou manifestement inexactes.
Ce que la transposition française prévoit
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 (texte n° 78) puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025 (texte n° 1779). Retiré de l'ordre du jour des séances des 7 et 9 octobre 2026 (Conférence des présidents du 6 octobre 2026), il n'a pas de nouvelle date au relevé du 13 octobre 2026. Ce qui suit reste donc un projet.
- Amendes (article 37 dans les deux versions) : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial hors taxes pour les entités essentielles, jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, sauf pour les administrations de l'État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs. Elles sont prononcées par la commission des sanctions mentionnée à l'article L. 1332-15 du code de la défense.
- Obstacle au contrôle (article 28 du texte du Sénat) : amende jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, notamment pour des renseignements incomplets ou inexacts.
- Mesures d'exécution (article 31) : avertissement et injonctions, assortis le cas échéant d'une astreinte jusqu'à 5 000 euros par jour de retard.
- Entités essentielles : suspension d'une certification ou d'une autorisation (article 33 du texte du Sénat) et interdiction de diriger, « en dernier recours » dans le texte du Sénat, si les mesures d'exécution sont inefficaces dans celui de la commission. L'interdiction ne vise jamais les administrations.
- Publicité : la commission des sanctions peut exiger que l'entité informe le public du manquement et publier sa décision (article 37, VI, du texte du Sénat).
Qui contrôle et comment
Le projet confie le contrôle à l'ANSSI : inspections sur place et contrôles à distance, audits réguliers et ciblés, scans de sécurité, audits après un incident important (article 29 du texte du Sénat). Le coût d'un audit confié à un organisme indépendant désigné par l'ANSSI reste à la charge de l'entité, sauf décision contraire. La directive distingue le rythme : contrôle possible à tout moment pour une entité essentielle, contrôle ex post, sur indices, pour une entité importante (articles 32 et 33), comme le détaille la comparaison entre les deux catégories.
Comment réduire le risque de sanction
- Vérifier sa catégorie, qui fixe les plafonds : voir comment savoir si votre entreprise est concernée.
- Notifier dans les délais : l'absence de notification d'un incident important est une circonstance grave (article 32, paragraphe 7).
- Corriger sans retard les écarts constatés, comme l'exige l'article 21, paragraphe 4, et dater chaque correction.
- Conserver des preuves : politiques signées, comptes rendus de direction, registres d'incidents, résultats d'audit.
- Coopérer pendant un contrôle : le degré de coopération est pris en compte (article 32, paragraphe 7, point h) et l'obstacle au contrôle est un manquement dans le projet de loi.
- Suivre un plan d'action arbitré, comme celui de l'exemple de plan d'action NIS 2 pour une PME.
Sources consultées
- Directive (UE) 2022/2555 du 14 décembre 2022, articles 32 à 36, EUR-Lex, consultée le 20 octobre 2026.
- Sénat, texte adopté n° 78 du 12 mars 2025 ; Assemblée nationale, texte de la commission spéciale n° 1779 du 10 septembre 2025 ; relevés de la Conférence des présidents des 6 et 13 octobre 2026.
- ANSSI, MesServicesCyber, page NIS 2, consultée le 20 octobre 2026.
Questions fréquentes
Une PME entité importante risque-t-elle 7 millions d'euros d'amende ?
C'est un plafond, non un tarif. Le montant doit être proportionné à la gravité du manquement ; le texte du Sénat demande de tenir compte notamment de la bonne foi de l'auteur, de ses ressources et de ses charges (article 37, VII).
Les sanctions NIS 2 s'appliquent-elles déjà en France ?
Non. Le régime de sanctions n'existera qu'avec la loi de transposition et ses décrets. L'ANSSI invite toutefois les futures entités à engager dès à présent leur mise en conformité.
Une amende NIS 2 peut-elle s'ajouter à une amende de la CNIL ?
Pas pour le même comportement : si la CNIL prononce une amende au titre du RGPD, l'autorité NIS 2 ne peut pas en infliger une autre, mais peut prendre les autres mesures d'exécution (article 35, paragraphe 2). Le projet de loi reprend cette règle (article 37, I).