Pénalités NIS2 : montants des sanctions et régime d'application

La directive NIS2 a introduit un régime de sanctions sans précédent dans le domaine de la cybersécurité européenne. Alors que la première directive NIS laissait aux États membres une liberté quasi totale dans la définition des sanctions, NIS2 impose des planchers d’amendes maximales, des pouvoirs de supervision étendus pour les autorités compétentes, et – innovation majeure – un mécanisme de responsabilité personnelle des dirigeants. Cet article analyse en détail le régime répressif de NIS2, ses implications concrètes pour les organisations et leurs dirigeants, et les moyens de s’y préparer.

I. Architecture du régime de sanctions NIS2

A. La logique du texte

La directive NIS2 a tiré les leçons de l’échec relatif de NIS1 en matière de sanctions. Sous NIS1, les montants maximaux variaient considérablement d’un État membre à l’autre, allant de quelques dizaines de milliers d’euros dans certains pays à plusieurs millions dans d’autres. Cette disparité affaiblissait l’effet dissuasif du texte et creait des distorsions de concurrence.

NIS2 corrigé cette situation en imposant aux États membres des seuils minimaux de sanctions maximales, en s’inspirant directement du modèle du RGPD. L’objectif est double : garantir un effet dissuasif réel et harmoniser le niveau de sanction à travers l’Union européenne.

B. La distinction entités essentielles / entités importantes

Le régime de sanctions de NIS2 reprend la distinction fondamentale entre entités essentielles et entités importantes, avec des conséquences significatives sur les montants encourus.

Pour les entités essentielles (article 34, paragraphe 4) :

Les amendes peuvent atteindre un montant maximal d’au moins 10 000 000 euros ou d’au moins 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise a laquelle l’entité essentielle appartient, le montant le plus élevé étant retenu.

Pour les entités importantes (article 34, paragraphe 5) :

Les amendes peuvent atteindre un montant maximal d’au moins 7 000 000 euros ou d’au moins 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

Ces montants sont des planchers : les États membres sont libres de prévoir des sanctions plus élevées dans leur législation de transposition. Il s’agit de montants maximaux minimaux – c’est-à-dire que le plafond national ne peut pas être inférieur à ces seuils.

C. Comparaison avec les sanctions RGPD

Le parallèle avec le RGPD est instructif. Les sanctions RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les infractions les plus gravés, et 10 millions d’euros ou 2 % pour les infractions de second rang. NIS2 se situé dans une fourchette comparable, ce qui témoigne de la volonté du législateur européen de placer la cybersécurité au même niveau d’enjeu que la protection des données.

Pour les organisations soumises aux deux textes – ce qui est le cas de la grande majorité des entités NIS2 traitant des données personnelles --, le cumul théorique des sanctions est considérable. La conformité au RGPD en matière de sécurité et la conformité NIS2 doivent être conduites de manière coordonnée.

II. Les pouvoirs des autorités de supervision

A. Supervision proactive des entités essentielles

NIS2 instaure un régime de supervision differentie selon la catégorie de l’entité.

Pour les entités essentielles, la supervision est proactive (article 32). Les autorités compétentes disposent des pouvoirs suivants :

• Inspections sur site et contrôles à distance : les autorités peuvent conduire des audits de sécurité réguliers et ciblés, y compris sans notification préalable.
• Audits de sécurité : les autorités peuvent imposer la réalisation d’audits de sécurité par des organismes indépendants, ou les conduire elles-mêmes. Le coût de ces audits est à la charge de l’entité contrôlée.
• Analyses de sécurité : examens des politiques de gestion des risques, des mesures de sécurité et de leur mise en oeuvre effective.
• Demandes d’information : les autorités peuvent exiger la communication de toute information nécessaire à l’exercice de leur mission de supervision.
• Accès aux données et documents : droit d’accès aux données, documents et informations nécessaires à l’évaluation des mesures de cybersécurité.

B. Supervision reactive des entités importantes

Pour les entités importantes, la supervision est reactive (article 33). Les autorités n’interviennent qu’en cas d’éléments indiquant un non-respect des obligations – par exemple, à la suite d’un incident, d’un signalement ou d’informations provenant d’un tiers. Les pouvoirs disponibles sont similaires (inspections, audits, demandes d’information), mais ils ne s’exercent qu’ex post.

C. Les mesures correctives

Au-delà des amendes, les autorités disposent d’un arsenal de mesures correctives (article 32, paragraphe 4) :

• Injonctions de conformité : ordres de cesser un comportement non conforme et de prendre les mesures nécessaires dans un délai déterminé.
• Instructions contraignantes : directives spécifiques sur les mesures de sécurité à mettre en oeuvre.
• Obligation d’information des clients : les autorités peuvent ordonner à l’entité d’informer les personnes ou entités susceptibles d’être affectées par une menace cyber significative.
• Publication des décisions : les autorités peuvent rendre publiques les décisions de non-conformité, avec un effet réputationnel potentiellement devastateur.
• Designation d’un agent de supervision : pour les cas les plus gravés, les autorités peuvent nommer un agent charge de superviser la mise en conformité de l’entité.

III. La responsabilité personnelle des dirigeants

A. L’innovation majeure de NIS2

L’article 20 de NIS2 constitue une rupture dans l’approche européenne de la cybersécurité. Il dispose que les “organes de direction” des entités essentielles et importantes doivent :

1. Approuver les mesures de gestion des risques en matière de cybersécurité prises par l’entité.
2. Superviser leur mise en oeuvre.
3. Pouvoir être tenus responsables en cas de non-respect des obligations.
4. Suivre une formation en matière de cybersécurité.

Cette disposition personnalisé la responsabilité : ce ne sont plus seulement les organisations qui sont visées, mais les personnes physiques qui les dirigent. Le RSSI n’est pas le seul concerné : ce sont bien les membres des organes de direction – conseil d’administration, directoire, gérants – qui portent cette responsabilité.

B. Les sanctions personnelles

L’article 32, paragraphe 5, prévoit que lorsqu’une entité essentielle ne se conforme pas aux mesures correctives imposées par l’autorité compétente, les États membres doivent prévoir la possibilité de :

• Suspendre temporairement une certification ou une autorisation relative à tout ou partie des services fournis par l’entité.
• Interdire temporairement à toute personne physique exerçant des responsabilités de direction au niveau de la direction générale de l’entité d’exercer des fonctions de direction.

Cette interdiction temporaire d’exercice est une sanction d’une sévérité considérable. Elle s’applique en dernier recours, lorsque les mesures correctives précédentes n’ont pas produit d’effet, mais son existence même devrait inciter les dirigeants à prendre la cybersécurité au sérieux.

C. Implications pratiques pour les dirigeants

Les dirigeants doivent désormais être en mesure de démontrer :

• Qu’ils ont approuvé formellement la politique de gestion des risques cyber de l’entité (délibération du conseil d’administration, décision du directoire).
• Qu’ils exercent une supervision effective de la mise en oeuvre des mesures de sécurité (tableaux de bord, comptes rendus réguliers, audits).
• Qu’ils ont suivi une formation en matière de cybersécurité leur permettant de comprendre les risques et d’évaluer les mesures prises.
• Que des ressources adéquates ont été allouees à la cybersécurité.

La réalisation régulière d’audits de sécurité informatique et le suivi de la checklist de conformité NIS2 constituent des éléments de preuve tangibles de cette diligence.

IV. Critères de détermination des sanctions

A. Les facteurs d’appréciation

L’article 34, paragraphe 3, de NIS2 énumère les circonstances que les autorités doivent prendre en compte pour déterminer le montant de l’amende :

1. La gravité de l’infraction et l’importance des dispositions violées.
2. La durée de l’infraction.
3. Les infractions antérieures commises par l’entité.
4. Les dommages matériels ou immatériels causes, y compris les pertes financières et économiques, les effets sur d’autres services et le nombre d’utilisateurs affectés.
5. Le caractère intentionnel ou negligent de l’infraction.
6. Les mesures prises pour prévenir ou atténuer les dommages.
7. Le respect des codes de conduite ou des mécanismes de certification approuves.
8. Le degré de coopération avec les autorités compétentes.

B. Les facteurs attenuants

Plusieurs éléments peuvent contribuer à atténuer la sanction :

• L’existence d’un programme de conformité structuré et documenté, incluant un audit de sécurité récent.
• La réalisation d’exercices de crise cyber démontrant la préparation de l’organisation.
• La certification ISO 27001 ou la conformité à des référentiels reconnus.
• La notification rapide et complète de l’incident aux autorités.
• La coopération active avec les autorités pendant l’investigation.
• Les investissements demontres en matière de cybersécurité et de sensibilisation.

C. Les facteurs aggravants

À l’inverse, certains éléments conduisent à des sanctions plus sévères :

• La récidive – des infractions antérieures démontrent une négligence persistante.
• Le refus de coopération avec les autorités.
• La dissimulation de l’incident ou des informations pertinentes.
• L’absence de mesures de sécurité élémentaires, en contradiction flagrante avec les exigences de la directive.
• L’absence totale de programme de gestion des risques cyber.

V. Transposition en droit français et perspectives

A. Le cadre de transposition

La transposition de NIS2 en droit français est assurée par voie législative. Le législateur français dispose d’une marge de manoeuvre limitée s’agissant des montants de sanctions – il ne peut qu’egaler ou dépasser les seuils fixés par la directive. En revanche, il peut amenager les modalités de la procédure de sanction, les voies de recours et les compétences des autorités.

L’ANSSI verra ses pouvoirs de supervision et de sanction considérablement renforcés. Les modalités de cette évolution sont un sujet d’attention pour l’ensemble des entités concernées. En parallèle, la CNIL conservera ses compétences en matière de sanctions RGPD, ce qui créé un paysage répressif a double volet pour les organisations traitant des données personnelles.

B. L’articulation avec les sanctions RGPD

L’articulation entre les sanctions NIS2 et les sanctions RGPD fait l’objet de dispositions spécifiques dans NIS2 (article 35). Lorsqu’une violation de sécurité entraîne une violation de données personnelles notifiable au titre du RGPD, l’autorité NIS2 s’abstient d’imposer une amende si l’autorité de protection des données a déjà sanctionné le même manquement. Cette règle de non bis in idem n’empêche toutefois pas le cumul des mesures correctives non financières.

Pour les organisations traitant des données personnelles, l’approche de conformité doit être intégrée, en adressant simultanément les exigences du RGPD et de NIS2. Les mesures de sécurité exigées par la CNIL et les mesures imposées par NIS2 presentent des recoupements importants qu’il convient d’exploiter.

C. Le risque réputationnel

Au-delà des amendes financières, la publication des décisions de sanction constitue un risque réputationnel majeur. À l’image des sanctions RGPD – ou les noms des entreprises sanctionnées par la CNIL font l’objet d’une large couverture médiatique --, les sanctions NIS2 feront l’objet d’une publicité susceptible d’affecter durablement la confiance des clients, partenaires et investisseurs.

L’ENISA publié des rapports annuels sur l’application de la directive qui permettront de suivre l’évolution de la pratique répressive à l’échelle européenne. Le texte de la directive est disponible en intégralité sur EUR-Lex.

FAQ

Les sanctions NIS2 s’appliquent-elles déjà ?

La directive NIS2 devait être transposée par les États membres au plus tard le 17 octobre 2024. Le calendrier de transposition varie selon les pays. En France, la procédure législative de transposition est en cours. Les sanctions ne seront applicables qu’à compter de l’entrée en vigueur de la loi de transposition. Toutefois, les organisations ont tout intérêt a se préparer des maintenant, car la mise en conformité demande plusieurs mois et les autorités s’attendront à un niveau de maturité raisonnable des l’entrée en vigueur.

Un dirigeant peut-il réellement être interdit d’exercer pour un défaut de cybersécurité ?

Oui, l’article 32, paragraphe 5, de NIS2 prévoit explicitement la possibilité d’interdire temporairement à une personne physique exerçant des responsabilités de direction d’exercer ses fonctions. Cette mesure est toutefois réservée aux cas les plus gravés, lorsque les mesures correctives précédentes n’ont pas été respectées. Elle ne s’applique qu’aux entités essentielles. Il s’agit d’une mesure de dernier recours, mais son existence dans le texte marque un changement de paradigme dans la responsabilisation des dirigeants en matière de cybersécurité.

Les sanctions NIS2 peuvent-elles se cumuler avec les sanctions RGPD ?

Le principe est la non-double sanction financière pour un même manquement. L’article 35 de NIS2 prévoit un mécanisme de coordination entre les autorités NIS2 et les autorités de protection des données. Si l’autorité de protection des données a déjà sanctionné financièrement un manquement à la sécurité constitutif également d’une violation NIS2, l’autorité NIS2 ne pourra pas imposer une amende supplémentaire pour les mêmes faits. En revanche, les mesures correctives non financières (injonctions, audits imposés) peuvent se cumuler.

Quelle est la meilleure stratégie pour minimiser le risque de sanction ?

La stratégie la plus efficace repose sur une démarche de conformité structurée et documentée : cartographie des obligations, évaluation des risques, mise en oeuvre des mesures de sécurité requises, formation des dirigeants et des collaborateurs, tests réguliers (y compris des exercices de crise), et coopération proactive avec les autorités en cas d’incident. La certification ISO 27001 et le suivi de la checklist de conformité NIS2 constituent des socles solides. La documentation est un élément clé : en cas de contrôle, la capacité à démontrer les efforts de conformité par des preuves tangibles est déterminante dans l’appréciation de la sanction.